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前 证 


计算 机 网 络 安全 是 指 网 络 系统 的 硬件 、 软 件 及 其 系统 中 的 数据 受到 保护 ， 不 因 偶然 的 
或 者 恶意 的 原因 而 遭受 到 破坏 、 更 改 、 泄 露 ， 系 统 连续 可 靠 地 运行 ， 网 络 服务 不 中 断 。 网 
络 安全 是 一 门 涉及 计算 机 科学 、 网 络 技术 、 通 信 技 术 、 密 码 技术 、 信 息 安 全 技术 、 应 用 数 
学 、 数 论 、 信 息 论 等 多 种 学 科 的 综合 性 学 科 。 随 着 计算 机 网 络 技术 的 发 展 ， 网 络 的 安全 问 
题 越 来 越 受 到 关注 ， 网 络 安全 已 超越 其 本 身 而 达到 国家 安全 的 高 度 。 

本 书 在 介绍 网 络 安全 理论 及 其 基础 知识 的 同时 ， 突 出 计算 机 网 络 安全 方面 的 管理 、 配 
置 及 维护 的 实际 操作 手法 和 手段 ， 并 尽量 跟踪 网 络 安全 技术 的 最 新 成 果 与 发 展 方向 ， 结 合 
网 络 安全 系统 案例 精心 前 述 。 全 书 主要 内 容 包括 网 络 安全 的 基本 概念 、 数 据 加 密 与 认证 技 
术 、 操 作 系统 的 安全 与 保护 措施 、 数 据 库 与 数据 安全 、 防 火 墙 技术 、 黑 客 技术 与 防范 措施 、 
网 络 病毒 技术 、VPN 技术 与 安全 协议 、 网 络 管理 与 维护 技术 、Intermet/Intranet 的 安全 性 、 
网 络 信 息 安 全 系统 案例 等 。 

全 书 共 分 为 10 章 ， 各 章 内 容 安排 如 下 。 

第 1 章 具体 介绍 计算 机 网 络 安全 的 相关 基础 知识 ， 包 括 网 络 安全 的 概念 及 影响 网 络 安 
全 的 主要 因素 ， 网 络 安全 的 组 成 以 及 网 络 安全 常用 的 技术 ; 第 2 章 介绍 网 络 安全 中 数据 加 
密 与 认证 技术 ， 包 括 传 统 的 加 密 方法 、DES 加 密 标准 、 公 开 密 钥 体 制 和 数字 签名 等 技术 ; 
第 3 章 主要 介绍 操作 系统 安全 技术 ， 包 括 Windows 和 Linux 操作 系统 的 安全 机 制 、 安 全 漏 
洞 和 安全 配置 方案 ;第 4 章 介绍 数据 库 与 数据 安全 技术 , 数据 库 的 安全 特性 、 数 据 库 的 安 
全 、 保 护 数据 的 完整 性 、 数 据 备份 和 恢复 、 网 络 备 份 、 系 统 数据 容 灾 等 ; 第 5 章 主 要 介绍 
病毒 的 原理 、 病 毒 的 类 型 和 计算 机 网 络 病毒 ， 同 时 介绍 了 几 种 影响 较 大 的 网 络 病毒 ， 并 且 
介绍 了 病毒 的 清除 及 防护 措施 ， 第 6 章 介绍 访问 控制 技术 中 的 防火 墙 的 技术 ， 包 括 防火 墙 
的 原理 、 种 类 和 实现 策略 等 ; 第 7 章 主 要 介绍 对 入 侵 检 测 的 概念 和 相关 技术 进行 了 全 面 介 
绍 ， 并 对 入 侵 检测 的 未 来 发 展 进行 了 讨论 ， 第 8 章 主要 介绍 了 VPN 与 NAT 技术 及 安全 协 
议 ， 涉 及 VPN 的 原理 与 设置 、NAT 的 工作 工程 ， 以 及 网 络 安全 的 几 个 主要 协议 ; 第 9 章 
主要 介绍 计算 机 网 络 管理 和 维护 技术 。 主 要 包括 网 络 管理 的 基本 概念 、 网 络 管理 协议 、 网 
络 管理 工具 和 网 络 维护 方法 。 介 绍 Windows 自 带 的 常用 网 络 工 具 ， 讨 论 了 网 卡 、 集 线 器 、 
交换 机 、 路 由 器 、 网 线 和 RJ-45 接头 等 网 络 连 接 设 备 的 维护 ， 网 络 的 性 能 优化 等 问题 ， 重 
点 介绍 了 常用 网 络 故 障 及 排除 方法 ; 第 10 章 主 要 介绍 网 络 信息 安全 系统 设计 案例 。 涉 及 需 
求 分 析 、 工 程 论 证 、 总 体 设 计 与 实体 设计 等 内 容 。 

由 于 网 络 安全 的 内 容 非 常 丰 富 ， 本 书 按理 论 教学 以 “必需 、 够 用 ”为 度 ， 加 强 实践 性 
环节 教学 ， 提 高 学 生 的 实际 技能 的 原则 组 织 编写 。 讲 究 知识 性 、 系 统 性 、 条 理性 、 连 贯 性 。 
力求 激发 学 生 兴 趣 ， 注 重 提示 各 知识 之 间 的 内 在 联系 ， 精 心 组 织 内 容 ， 做 到 由 浅 入 深 ， 由 
易 到 难 ， 删 繁 就 简 ， 突 出 重点 ， 循 序 渐进 。 本 书 既 注重 网 络 安全 基础 理论 ， 又 着 眼 培养 读 
者 解决 网 络 安全 问题 的 能 力 。 

本 书 的 特点 是 文字 简明 、 图 表 准 确 、 通 俗 易 懂 ， 用 循序 渐进 的 方式 叙述 网 络 安全 知识 ， 
对 计算 机 网 络 安全 的 原理 和 技术 难点 的 介绍 适度 ， 内 容 安排 合理 ， 逻 辑 性 强 ， 重 点 介绍 网 


和 | 络 安全 的 概念 、 技 术 和 应 用 ， 在 内 容 上 将 理论 知识 和 实际 应 用 紧密 地 结合 在 一 起 。 本 书 共 
机 | 10 章 ， 适 用 于 48 学 时 左右 的 课堂 教学 。 通 过 对 本 书 的 学 习 ， 可 使 读者 较 全 面 地 了 解 网 络 
系统 安全 的 基本 概念 、 网 络 安全 技术 和 应 用 ， 培 养 读者 解决 网 络 安全 问题 的 能 力 。 
信 本 书 可 作为 普通 高 等 教育 和 成 人 高 等 教育 计算 机 科学 与 技术 、 网 络 工 程 、 软 件 工程 、 
安 通信 工程 、 自 动 化 及 相关 专业 本 科教 材 使 用 ， 也 可 作为 高 职高 专 计 算 机 网 络 安全 技术 教材 
全 | 使 用 ， 同 时 也 是 广大 工程 技术 人 员 较 好 的 科技 参考 书 。 

本 书 由 刘 永 华 担 任 主编 并 完成 全 书 的 通 稿 整理 ， 陈 苦 、 张 淑 玉 、 周 金玲 担任 副 主编 。 
其 中 第 1 一 7 章 由 刘 永 华 编写 ， 第 8 章 由 陈 昔 编 号， 第 9 章 由 张 淑 玉 编写 ， 第 10 章 由 董 春 
平 编写 。 备 凡 楼 、 孙 俊 香 、 赵 艳 杰 、 解 圣 庆 、 周 建 粱 、 张 宗 云 对 本 书 的 编写 提供 了 帮助 ， 


在 此 向 他 们 表示 感谢 。 
由 于 作者 水 平 有 限 ， 加 之 编写 时 间 仓促 ， 书 中 难免 有 朴 漏 和 不 足 之 处 ， 恳 请 广大 读者 
和 同行 批评 指正 。 
编 者 
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第 1 章 计算 机 网 络 安全 概述 


学 习 目 标 

系统 学 习 网 络 安 全 的 概念 ， 网 络 安 全 的 现状 ， 网 络 面临 的 主要 威胁 ， 影 响 网 络 安 全 的 
因素 ， 保 证 网 络 安全 的 技术 。 通 过 本 章 的 学 习 ， 读 者 应 掌握 及 了 解 以 下 内 容 。 

@ ”掌握 网 络 安 全 的 概念 ， 网 络 安全 的 基本 技术 。 

@ ”了解 网 络 的 安全 威胁 ， 影 响 网 络 安全 的 主要 因素 。 


1.1 计算 机 网 络 安全 简介 


随 着 信息 技术 的 迅速 发 展 ， 网 络 已 成 为 重要 的 信息 传播 工具 。 而 随 着 互联 网 的 飞速 发 
展 ， 网 络 安全 问题 也 越 来 越 受到 广泛 的 关注 ， 各 种 病毒 花样 繁多 、 层 出 不 穷 ， 系 统 、 程 序 、 
软件 的 安全 漏洞 越 来 越 多 ， 黑 客 们 常 通过 不 正当 手段 侵入 他 人 计算 机 ， 非 法 获得 用 户 信息 
资料 ， 给 正常 使 用 互联 网 的 用 户 带 来 不 可 估计 的 损失 。 因 此 ， 网 络 安全 越 来 越 引起 人 们 的 
重视 。 


1.1.1 网 络 安全 的 概念 


人 们 在 享受 信息 化 带 来 的 众多 好 处 的 同时 ， 也 面临 着 日 益 突出 的 信息 安全 与 保密 的 问 
题 ,。 计算 机 网 络 信息 安全 技术 经 过 10 多 年 的 发 展 , 在 信息 安全 技术 的 研究 基础 上 形成 了 两 
个 完全 不 同 的 角度 和 方向 : 一 个 从 正面 防御 角度 考虑 ， 研 究 加 密 、 鉴 别 、 认 证 、 授 权 和 访 
问 控制 等 ， 另 一 个 从 反面 攻击 角度 考虑 ， 研 究 漏洞 的 扫描 评估 、 入 侵 检测 、 紧 急 响 应 和 病 
毒 预 防 。 网 络 安全 从 其 本 质 上 来 讲 就 是 网 络 上 的 信息 安全 。 它 涉及 的 领域 相当 广泛 ， 这 是 
因为 在 目前 的 公用 通信 网 络 中 存在 着 各 种 各 样 的 安全 漏洞 和 威胁 。 下 面 给 出 网 络 安全 的 一 
个 通用 定义 。 

网 络 安全 就 是 网 络 上 的 信息 安全 ， 是 指 网 络 系统 的 硬件 、 软 件 及 其 系统 中 的 数据 受到 
保护 ， 不 受 偶然 的 或 者 恶意 的 原因 而 遭 到 破坏 、 更 改 、 汇 露 ， 系 统 能 连续 、 可 靠 正常 地 运 
行 ， 使 网 络 服务 不 中 断 。 

广义 来 说 ， 凡 是 涉及 网 络 上 信息 的 保密 性 、 完 整 性 、 可 用 性 、 真 实 性 和 可 控 性 的 相关 
技术 和 理论 都 是 网 络 安全 所 要 研究 的 领域 。 

网 络 安全 涉及 的 内 容 既 有 技术 方面 的 问题 ， 也 有 管理 方面 的 问题 ， 两 者 相互 补充 ， 缺 
一 不 可 。 技 术 方 面 主要 侧重 于 防范 外 部 非法 用 户 的 攻击 ， 管 理 方面 则 侧重 于 内 部 人 为 因素 
的 管理 。 

网 络 安全 要 考虑 以 下 几 个 方面 的 内 容 。 

1. 网 络 系统 的 安全 


网 络 系统 的 安全 主要 包括 以 下 几 方面 的 问题 。 
(1) 网 络 操作 系统 的 安全 性 。 目 前 流行 的 操作 系统 (UNIX、Windows 2000/ NT/XP 等 ) 


Q@_ 


让 | 均 存在 网 络 安全 漏洞 。 

机 | ”QQ) 来 自 外 部 的 安全 威 肋 。 

草 。。 G) 来 自 内 部 用 户 的 安全 威胁 。 

信 | 。 (4) 通信 协议 软件 本 身 缺 乏 安 全 性 (如 TCP/IP 协议 )。 


人 (5) 计算 机 病毒 感染 。 
全 (6) 应 用 服务 的 安全 。 许 多 应 用 服务 系统 在 访问 控制 及 安全 通信 方面 考虑 不 周全 。 
2. 局 域 网 安全 


| 局 域 网 采用 广播 方式 , 在 同一 个 广播 域 中 可 以 侦 听 到 在 该 局 域 网 上 传输 的 所 有 信息 包 ， 
这 是 一 个 不 安全 的 因素 。 


3. Internet 互联 安全 


非 授权 访问 、 冒 充 合 法 用 户 、 破 坏 数据 完整 性 、 干 扰 系统 正常 运行 、 利 用 网 络 传播 病 
毒 等 都 是 在 Intemet 上 经 常 遇 到 的 问题 。 


4. 数据 安全 


事实 上 , 无 论 mtemet 还 是 其 他 专用 网 络 ， 都 必须 注意 数据 的 安全 性 问题 ， 以 保护 本 单 
位 、 本 部 门 的 信息 资源 不 会 受到 外 来 的 侵害 。 

从 根本 意义 上 讲 ， 绝 对 安全 的 计算 机 是 根本 不 存在 的 ， 绝 对 安全 的 网 络 也 是 不 可 能 有 
的 。 只 有 存放 在 一 个 无 人 知晓 的 密室 里 ， 而 又 不 通电 的 计算 机 才 可 以 称 得 上 安全 。 计 算 机 
只 要 投入 使 用 ， 就 或 多 或 少 地 存在 着 安全 问题 ， 只 是 程度 不 同 而 已 。 因 此 ， 在 探讨 网 络 安 
全 的 时 候 ， 实 际 上 指 的 是 一 定 程度 上 的 网 络 安全 。 而 到 底 需要 多 大 的 安全 性 ， 要 依据 实际 
需要 及 自身 能 力 而 定 。 网 络 安全 性 越 高 ， 也 就 意味 着 网 络 的 管理 越 复杂 。 网 络 的 安全 性 与 
网 络 管理 便利 性 是 一 对 矛盾 。 


1.1.2 ”网络 安全 模型 


典型 的 网 络 安全 模型 如 图 1.1 所 示 。 信 息 需 要 从 一 方 通过 网 络 传送 到 另 一 方 。 在 传送 
中 居 主 体 地 位 的 双方 必须 相互 合作 以 便 进 行 交换 。 通 过 通信 协议 (如 TCP/P) 在 两 个 主体 之 
间 可 以 建立 一 条 逻辑 信息 通道 。 

为 防止 对 手 对 信息 机 密 性 、 可 靠 性 等 造成 破坏 ， 需 要 保护 传送 的 信息 。 保 证 安全 性 的 
所 有 机 制 包括 以 下 两 部 分 。 

(1) 对 被 传送 的 信息 进行 与 安全 相关 的 转换 。 图 1.1 中 包含 了 加 密 消息 和 以 消息 内 容 
为 基础 的 补充 代码 。 加 密 消 息 使 对 手 无 法 阅读 ， 补 充 代码 可 以 用 来 验证 发 送 方 的 身份 。 

(2) 两 个 主体 共享 不 希望 对 手 得 知 的 保密 信息 。 例 如 ， 使 用 密 钥 链 接 ， 在 发 送 前 对 信 
息 进行 转换 ， 在 接收 后 再 转换 回来 。 

为 了 实现 安全 传送 ， 可 能 需要 可 信任 的 第 三 方 。 例 如 ， 第 三 方 可 能 会 负责 向 两 个 主体 
分 发 保密 信息 ， 而 向 其 他 对 手 保密 ， 或 者 需要 第 三 方 对 两 个 主体 间 传送 信息 可 靠 性 的 争端 
进行 仲裁 。 


第 1 音 ， 计 算 机 网 络 安全 本 这 @@ 


可 信 认 的 第 三 方 


A 《如 保密 信息 的 仲裁 者 、 发 布 者 ) < 


主体 主体 
CE 一 | 

秘密 。 一 一 秘密 

信息 消息 

与 安全 性 相关 的 转换 与 安全 性 相关 的 转换 


对 手 
图 1.1 网 络 安全 模型 


这 种 通用 模型 指出 了 设计 特定 安全 服务 的 4 个 基本 任务 。 

(1) 设计 执行 与 安全 性 相关 的 转换 算法 ， 该 算法 必须 使 对 手 不 能 对 算法 进行 破解 以 实 
现 其 目的 。 

(2) 生成 算法 使 用 的 保密 信息 。 

(3) 开发 分 发 和 共享 保密 信息 的 方法 。 

(4) 指定 两 个 主体 要 使 用 的 协议 , 并 利用 安全 算法 和 保密 信息 来 实现 特定 的 安全 服务 。 


1.1.3 计算 机 安全 的 分 级 


计算 机 操作 系统 的 安全 级 别 在 美国 国防 部 发 表 的 橘 皮 书 一 《可 信 计 算 机 系统 评测 标 
准 》 中 ， 把 计算 机 系统 分 为 4 个 等 级 、7 个 级 别 ， 即 D( 最 低 保 护 等 级 )、C( 自 主 保护 等 级 )、 
B( 强 制 保护 等 级 )、A( 验 证 保护 等 级 )4 等 ， 细 分 为 D、C1、C2、B1、B2、B3、Al1 等 7 级 。 

e@ D 级 。 计算机 安全 的 最 低 一 级 ， 不 要 求 用 户 进行 登录 和 密码 保护 ， 任 何人 都 可 以 
使 用 ， 整 个 系统 是 不 可 信任 的 ， 硬 件 和 软件 都 易 被 他 人 侵袭 。 

@ Cl 级。 自主 安全 保护 级 。 要求 硬件 有 一 定 的 安全 级 (如 计算 机 带 锁 )， 用 户 必须 通 
过 登录 认证 方 可 使 用 系统 ， 并 建立 了 访问 许可 权限 机 制 。 

@ 02 级 。 受 控 存 取保 护 级 。 比 C1 级 增加 了 几 个 特性 ， 即 : 引进 了 受 控 访 问 环境 ， 
进一步 限制 了 用 户 执行 某 些 系统 指令 ; 授权 分 级 使 系统 管理 员 给 用 户 分 组 ， 授 予 
他 们 访问 某 些 程序 和 分 级 目录 的 权限 ; 采用 系统 审计 ， 跟 踪 记 录 所 有 安全 事件 及 
系统 管理 员 的 工作 。 

e@ Bl 级。 标记 安全 保护 级 。 对 网 络 上 每 个 对 象 都 给 予 实施 保护 ， 支持 多 级 安全 ， 对 
网 络 、 应 用 程序 工作 站 实施 不 同 的 安全 策略 ;对象 必须 在 访问 控制 之 下 ， 不 允许 
拥有 者 自己 改变 所 属 资源 的 权限 。 

@ ”B2 级 。 结 构 化 保护 级 。 对 网 络 和 计算 机 系统 中 所 有 对 象 都 加 以 定义 ， 分 配给 一 个 
标签 ;为 工作站、 终端 等 设备 分 配 不 同 的 安全 级 别 ， 按 最 小 特权 原则 取消 权力 无 
限 大 的 特权 用 户 。 

@  B3 级 。 安 全 域 级 。 要求 用 户 工作 站 或 终端 必须 通过 可 信任 的 途径 链接 到 网 络 系统 
内 部 的 主机 上 ; 采用 硬件 来 保护 系统 的 数据 存储 区 ; 根据 最 小 特权 原则 ， 增 加 了 
系统 安全 员 ， 将 系统 管理 员 、 系 统 操作 员 和 系统 安全 员 的 职责 分 离 ， 将 人 为 因素 
对 计算 机 安全 的 威胁 降 至 最 小 。 


ee Al 级 。 验 证 设计 级 。 这 是 计算 机 安全 级 别 中 最 高 的 一 级 ， 本 级 包括 了 以 上 各 级 别 
的 所 有 措施 ， 并 附加 了 一 个 安全 系统 的 受 监视 设计 ; 合格 的 个 体 必须 经 过 分 析 并 
通过 这 一 设计 ， 所 有 构成 系统 的 部 件 来 源 都 必须 有 安全 保证 ;这 一 级 还 规定 了 将 
安全 计算 机 系统 运送 到 现场 安装 所 必须 遵守 的 程序 。 
在 网 络 的 具体 设计 过 程 中 ， 应 根据 网 络 总 体 规划 中 提出 的 各 项 技术 规范 、 设 备 类 型 、 
性 能 要 求 及 经 费 等 ， 综 合 考虑 来 确定 一 个 比较 合理 、 性 能 较 高 的 网 络 安全 级 别 ， 从 而 实现 
网 络 的 安全 性 和 可 靠 性 。 


| 1.1.4 网 络 安全 的 重要 性 


在 信息 社会 中 ,信息 具有 与 能 源 、 物 源 同 等 的 价值 ， 在 某 些 时 候 甚至 具有 更 高 的 价值 。 
具有 价值 的 信息 必然 存在 安全 性 的 问题 ， 对 于 企业 更 是 如 此 。 例 如 ， 在 竞争 激烈 的 市 场 经 
济 驱 动 下 ， 每 个 企业 对 于 原料 配额 、 生 产 技 术 、 经 营 决策 等 信息 ， 在 特定 的 地 点 和 业务 范 
围 内 都 具有 保密 的 要 求 ， 一 旦 这 些 机 密 被 泄露 ， 不 仅 会 给 企业 ， 而 且 会 给 国家 造成 严重 的 
经 济 损失 。 

经 济 社会 的 发 展 要 求 各 用 户 之 间 的 通信 和 资源 共享 ， 需 要 将 一 批 计算 机 联 成 网 络 ， 这 
样 就 隐 含 着 很 大 的 风险 ， 包 含 了 极 大 的 脆弱 性 和 复杂 性 ， 特 别 是 对 当今 最 大 的 网 
络 一 一 Intermet， 很 容易 遭 到 别有用心 者 的 恶意 攻击 和 破坏 。 随 着 国民 经 济 的 信息 化 程度 的 
提高 ， 有 关 的 大 量 情报 和 商务 信息 都 高 度 集中 地 存放 在 计算 机 中 ， 随 着 网 络 应 用 范围 的 扩 
大 ， 信 息 的 泄露 问题 也 变 得 日 益 严重 ， 因 此 ， 计 算 机 网 络 的 安全 性 问题 就 越 来 越 重要 。 


1.2 计算 机 网 络 安 全 的 现状 


互联 网 与 生 俱 有 的 开放 性 、 交 互 性 和 分 散 性 特征 使 人 类 所 懂 悍 的 信息 共享 、 开 放 、 灵 
活 和 快速 等 需求 得 到 满足 。 网 络 环境 为 信息 共享 、 信 息 交流 、 信 息 服务 创造 了 理想 空间 ， 
网 络 技术 的 迅速 发 展 和 广泛 应 用 ， 为 人 类 社会 的 进步 提供 了 巨大 推动 力 。 正 是 由 于 互联 网 
的 上 述 特性 ， 产 生 了 许多 安全 问题 。 

(1) 黑客 (HackeD。 这 是 指 在 mtemet 上 有 一 批 熟悉 网 络 技术 的 人 ， 经 常 利 用 网 络 上 现 
存 的 一 些 漏洞 ， 设 法 进入 他 人 的 计算 机 系统 。 有 些 人 只 是 为 了 好 奇 ， 而 有 些 人 是 心怀 不 良 
动机 侵入 他 人 系统 ， 他 们 偷窥 机 密 信 息 ， 或 将 其 计算 机 系统 破坏 ， 这 部 分 人 就 被 称 为 “ 黑 
客 ”。 尽 管 人 们 在 计算 机 技术 上 做 出 了 种 种 努力 ， 但 这 种 攻击 却 是 愈演愈烈 。 从 单一 地 利 
用 计算 机 病毒 破坏 和 用 黑客 手段 进行 入 侵 攻击 转变 为 使 用 恶意 代码 与 黑客 攻击 手段 相 结 
合 ， 使 得 这 种 攻击 具有 传播 速度 迅猛 、 受 害 面 惊人 和 穿 透 深 度 广 的 特点 ， 往 往 一 次 攻击 就 
会 给 受害 者 带 来 严重 的 破坏 和 损失 。 

(2) 信息 泄露 、 信 息 污染 、 信 息 不 易 受 控 。 例 如 ， 资 源 未 授权 侵 用 、 未 授权 信息 流出 
现 、 系 统 拒绝 信息 流 和 系统 否认 等 ， 这 些 都 是 信息 安全 的 技术 难点 。 

(3) 在 网 络 环境 中 ， 一 些 组 织 或 个 人 出 于 某 种 特殊 目的 ， 进 行 信息 泄密 、 信 息 破 坏 、 
信息 侵权 和 意识 形态 的 信息 渗透 ， 甚 至 通过 网 络 进行 政治 颠覆 等 活动 ， 使 国家 利益 、 社 会 
公共 利益 和 各 类 主体 的 合法 权益 受到 威胁 。 

(4) 网 络 运用 的 趋势 是 全 社会 广泛 参与 ， 随 之 而 来 的 是 控制 权 分 散 的 管理 问题 。 由 于 
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人 们 的 利益 、 目 标 及 价值 观 产 生 分 歧 ， 使 信息 资源 的 保护 和 管理 出 现 脱节 和 真空 ， 从 而 使 
信息 安全 问题 变 得 广泛 而 复杂 。 

(5) 随 着 社会 重要 基础 设施 的 高 度 信息 化 ， 社 会 的 “命脉 ”和 核心 控制 系统 有 可 能 面 
临 恶意 攻击 而 导致 损坏 和 瘫痪 ,包括 国防 通信 设施 、 动 力 控制 网 、 金 融 系 统 和 政府 网 站 等 。 

近年 来 , 人 们 的 网 络 安全 意识 逐步 提高 ， 很 多 企业 根据 核心 数据 库 和 系统 运营 的 需要 ， 
逐步 部 署 了 防火 墙 、 防 病毒 和 入 侵 监测 系统 等 安全 产品 ， 并 配备 了 相应 的 安全 策略 。 虽 然 
有 了 这 些 措施 ， 但 并 不 能 解决 一 切 问题 。 我 国 网 络 安全 问题 日 益 突出 ， 其 主要 表现 在 以 下 
几 个 方面 。 


1. 安全 事件 不 能 及 时 、 准 确 发 现 


网 络 设备 、 安 全 设备 、 系 统 每 天 生成 的 日 志 可 能 有 上 万 条 甚至 几 十 万 条 ， 这 样 人 工地 
对 多 个 安全 系统 的 大 量 日 志 进 行 实时 审计 、 分 析 流 于 形式 ， 再 加 上 误 报 (如 网 络 入 侵 检测 系 
统 NIDS、 互 联网 协议 群 PS)、 漏 报 (如 未 知 病毒 、 未 知 网 络 攻击 、 未 知 系统 攻击 ) 等 问题 ， 
造成 不 能 及 时 、 准 确 地 发 现 安全 事件 。 


2. 安全 事件 不 能 准确 定位 


信息 安全 系统 通常 是 由 防火 墙 、 入 侵 检测 、 漏 洞 扫 描 、 安 全 审计 、 防 病毒 、 流 量 监控 
等 产品 组 成 的 ， 但 是 由 于 安全 产品 来 自 不 同 的 厂商 ， 没 有 统一 的 标准 ， 所 以 安全 产品 之 间 
无 法 进行 信息 交流 ， 于 是 形成 许多 安全 孤岛 和 安全 盲区 。 由 于 事件 孤立 ， 相 互 之 间 无 法 形 
成 很 好 的 集成 关联 ， 因 而 一 个 事件 的 出 现 不 能 关联 到 真实 问题 。 

如 入 侵 监测 系统 事件 报警 ， 就 需 关 联 同一 时 间 防 火 墙 报警 、 被 攻击 的 服务 器 安全 日 志 
报警 等 ， 从 而 了 解 是 真实 报警 还 是 误 报 ; 如 是 未 知 病毒 的 攻击 ， 则 分 为 两 类 ， 即 网 络 病毒 、 
主机 病毒 。 网 络 病毒 大 都 表现 为 流量 异常 ， 主 机 病毒 大 都 表现 为 中 央 处 理 器 异常 、 内 存 异 
常 、 磁 盘 空 间 异 常 、 文 件 的 属性 和 大 小 改变 等 。 要 发 现 这 个 问题 ， 需 要 关联 流量 监控 (网 络 
病毒 )、 服 务 器 运行 状态 监控 (主机 病毒 )、 完 整 性 检测 (主机 病毒 ) 来 发 现 。 为 了 预防 网 络 病 
毒 大 规模 爆发 ， 则 必须 在 病毒 爆发 前 快速 发 现 中 毒 机 器 并 切断 源头 。 如 服务 器 的 攻击 ， 可 
能 是 安全 事件 遭 病 毒 感染 ， 分 布 式 拒绝 服务 DDoS(Distributed Denial of Service) 攻 击 ， 可 能 
是 服务 器 CPU 超 负 荷 ; 端口 某 服务 流量 太 大 、 访问 量 太 大 等 ， 必 须 将 多 种 因素 结合 起 来 才 
能 更 好 地 分 析 ， 快 速 知 道真 实 问题 点 并 及 时 恢复 正常 。 

DDoS 是 一 种 基于 DoS 的 特殊 形式 的 拒绝 服务 攻击 ， 是 一 种 分 布 、 协 作 的 大 规模 攻击 
方式 ， 主 要 瞄准 比较 大 的 站 点 ， 像 商业 公司 、 搜 索引 擎 和 政府 部 门 的 站 点 。DDoS 攻击 是 
利用 一 批 受 控 制 的 机 器 向 一 台 机 器 发 起 攻击 ， 这 样 来 势 迅 猛 的 攻击 令 人 难以 防备 ， 因 此 具 
有 较 大 的 破坏 性 。 


3. 无 法 做 集中 的 事件 自动 统计 


它 包括 某 台 服务 器 的 安全 情况 报表 、 所 有 机 房 发 生 攻击 事件 的 频率 报表 、 网 络 中 利用 
次 数 最 多 的 攻击 方式 报表 、 发 生 攻击 事件 的 网 段 报表 、 服 务 器 性 能 利用 率 最 低 的 服务 器 列 
表 等 。 需 要 管理 员 人 为 地 对 这 些 事件 做 统计 记录 ， 生 成 报告 ， 从 而 耗费 大 量 人 力 。 


4. 缺乏 有 效 的 事件 处 理 查询 


没有 对 事件 处 理 的 整个 过 程 做 跟踪 记录 ， 信 息 部 门 主管 不 了 解 哪些 管理 员 对 该 事件 进 
行 了 处 理 ， 对 处 理 过 程 和 结果 也 没有 做 记录 ， 使 得 处 理 的 知识 和 经 验 不 能 得 到 共享 ， 导 致 
下 次 再 发 生 类 似 事件 时 ， 处 理 效率 的 低下 。 

5. 缺乏 专业 的 安全 技能 


管理 员 发 现 问题 后 ， 往 往 因 为 安全 知识 的 不 足 导 致 事件 迟 迟 不 能 被 处 理 ， 从 而 影响 网 
络 的 安全 性 ， 延 误 网 络 的 正常 使 用 。 


1.3 ”计算 机 网 络 安全 威胁 


安全 威胁 是 指 某 个 人 、 物 、 事 件 或 概念 对 某 一 资源 的 机 密 性 、 完 整 性 、 可 用 性 或 合法 
性 所 造成 的 危害 。 某 种 攻击 就 是 某 种 威胁 的 具体 实现 。 

安全 威胁 可 分 为 故意 的 (如 黑客 渗透 ) 和 侦 然 的 (如 信息 被 发 往 错误 的 地 址 ) 两 类 。 故 意 威 
胁 又 可 进一步 分 为 被 动 和 主动 两 类 。 


1.3.1 安全 攻击 


对 于 计算 机 或 网 络 安全 性 的 攻击 ， 一 般 是 通过 在 提供 信息 时 查看 计算 机 系统 的 功能 来 
记录 其 特性 。 当 信息 从 信 源 向 信 宿 流动 时 ， 图 1.2 中 列 出 了 信息 正常 流动 和 受到 各 种 类 型 
的 攻击 的 情况 。 


1.2 安全 攻击 


(1) 中 断 是 指 系统 资源 遭 到 破坏 或 变 得 不 能 使 用 。 这 是 对 可 用 性 的 攻击 。 例 如 ， 对 一 
些 硬 件 进行 破坏 、 切 断 通信 线路 或 禁用 文件 管理 系统 。 

(2) 截获 是 指 未 授权 的 实体 得 到 了 资源 的 访问 权 ， 这 是 对 保密 性 的 攻击 。 未 授权 实体 
可 能 是 一 个 人 、 一 个 程序 或 一 台 计 算 机 。 

(3) 自 改 是 指 未 授权 的 实体 不 仅 得 到 了 访问 权 ， 而 且 还 算 改 了 资源 ， 这 是 对 完整 性 的 
攻击 。 

(4) 伪造 是 指 未 授权 的 实体 向 系统 中 插入 伪造 的 对 象 ， 这 是 对 真实 性 的 攻击 。 

1. 被 动 攻击 与 主动 攻击 

以 上 这 些 攻击 类 型 还 可 分 为 被 动 攻击 和 主动 攻击 两 种 ， 下 面 详 细 介绍 。 

(1) 被 动 攻击 的 特点 是 偷 听 或 监视 传送 ， 其 目的 是 获取 正在 传送 的 消息 。 被 动 攻击 有 
泄露 信息 内 容 和 通信 量 分 析 等 。 中 泄露 信息 内 容 容易 理解 ， 包 括 电话 对 话 、 电 子 邮 件 消息 
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以 及 可 能 含有 敏感 的 机 密 信息 ， 要 防止 对 手 从 传送 中 获得 这 些 内 容 。@@ 通 信和 量 分 析 则 比较 
微妙 ， 是 用 某 种 方法 将 信息 内 容 隐藏 起 来 ， 常 用 的 技术 是 加 密 ， 这 样 即使 对 手 捕获 了 消息 ， 
也 不 能 从 中 提取 信息 。 对 手 可 以 确定 位 置 和 通信 主机 的 身份 ， 可 以 观察 交换 消息 的 频率 和 
长 度 。 这 些 信息 可 以 帮助 对 手 猜测 正在 进行 的 通信 特性 。 

(2) 主动 攻击 涉及 修改 数据 或 创建 错误 的 数据 流 ， 它 包括 假冒 、 重 放 、 修 改 消息 和 拒 
绝 服务 等 。 假 冒 是 一 个 实体 假装 成 另 一 个 实体 ， 假 冒 攻 击 通 常 包括 一 种 其 他 形式 的 主动 
攻击 ; @ 重 放 涉 及 被 动 捕获 数据 单元 及 其 后 来 的 重新 传送 ， 以 产生 未 经 授权 的 效果 ; @ 修 
改 消息 意味 着 改变 了 真实 消息 的 部 分 内 容 , 或 将 消息 延迟 或 重新 排序 ， 导致 未 授权 的 操作 ; 
@ 拒 绝 服 务 是 指 禁止 对 通信 工具 的 正常 使 用 或 管理 ， 这 种 攻击 拥有 特定 的 目标 ; 另 一 种 拒 
绝 服务 的 形式 是 整个 网 络 的 中 断 ， 可 以 通过 使 网 络 失效 而 实现 ， 或 通过 消息 过 载 使 网 络 性 
能 降低 。 主 动 攻击 具有 与 被 动 攻击 相反 的 特点 。 虽 然 很 难 检 测 出 被 动 攻击 ， 但 可 以 采取 措 
施 防止 它 的 成 功 。 相 反 ， 很 难 绝对 预防 主动 攻击 ， 因 为 这 样 需要 随时 对 所 有 的 通信 工具 和 
路 径 进 行 完全 保护 。 防 止 主动 攻击 的 做 法 是 对 攻击 进行 检测 ， 并 从 它 引起 的 中 断 或 延迟 中 
恢复 过 来 。 因 为 检测 具有 威慑 的 效果 ， 也 可 以 起 到 预防 作用 。 

2. 服务 攻击 与 非 服务 攻击 


另外 ， 从 网 络 高 层 协议 的 角度 ， 攻 击 方 法 可 以 概括 地 分 为 两 大 类 ， 即 服务 攻击 与 非 服 
务 攻 击 。 

(1) 服务 攻击 (Application Dependent Attack) 是 针对 某 种 特定 网 络 服务 的 攻击 ， 如 针对 
E-mail 服务 、Telnet、FTP、HTTP 等 服务 的 专门 攻击 。 目 前 Intemet 应 用 协议 集 (主要 是 TCP/IP 
协议 集 ) 缺 乏 认证 、 保 密 措 施 ， 是 造成 服务 攻击 的 重要 原因 。 现 在 有 很 多 具体 的 攻击 工具 ， 
如 Mailf Bomb( 邮 件 炸 弹 ) 等 ， 可 以 很 容易 地 实施 对 某 项 服务 的 攻击 。 

(2) 非 服务 攻击 (Application Independent Attack) 不 针对 某 项 具体 应 用 服务 , 而 是 基于 网 
络 层 等 低层 协议 而 进行 的 。TCP/P 协议 (尤其 是 PPv4) 自 身 的 安全 机 制 不 足 为 攻击 者 提供 了 
方便 之 门 。 

与 服务 攻击 相 比 ， 非 服务 攻击 与 特定 服务 攻击 无 法 相 比 ， 它 往往 利用 协议 或 操作 系统 
实现 协议 时 的 漏洞 来 达到 攻击 的 目的 ， 更 为 隐蔽 ， 而 且 目 前 也 是 常常 被 忽略 的 方面 ， 因 而 
被 认为 是 一 种 更 为 有 效 的 且 更 具 危 险 性 的 攻击 手段 。 


1.3.2 基本 的 威胁 


网 络 安全 的 基本 目标 是 实现 信息 的 机 密 性 、 完 整 性 、 可 用 性 和 合法 性 。 以 下 4 个 基本 
的 安全 威胁 直接 反映 了 这 4 个 安全 目标 。 

(1) 信息 泄露 或 丢失 。 它 指 敏感 数据 在 有 意 或 无 意 中 被 泄露 出 去 或 丢失 ， 通 常 包括 信 
息 在 传输 中 丢失 或 泄露 、 信 息 在 存储 介质 中 丢失 或 泄露 、 通 过 建立 隐蔽 通道 等 窃取 敏感 信 
息 等 。 

(2) 破坏 数据 完整 性 。 这 是 指 以 非法 手段 窃 得 对 数据 的 使 用 权 ， 删 除 、 修 改 、 插 入 或 
重 发 某 些 重要 信息 ， 以 取得 有 益 于 攻击 者 的 响应 ;恶意 添加 、 修 改 数据 ， 以 干扰 用 户 的 正 
常 使 用 。 

(3) 拒绝 服务 攻击 。 它 不 断 对 网 络 服务 系统 进行 干扰 ， 改 变 其 正常 的 作业 流程 ， 执 行 
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无 关 程序 使 系统 响应 减 慢 甚至 瘫 疾 ， 影 响 正常 用 户 的 使 用 ， 甚 至 使 合法 用 户 被 排斥 而 不 能 
进入 计算 机 网 络 系统 或 不 能 得 到 相应 的 服务 。 

(4) 非 授 权 访问 。 没 有 预先 经 过 同意 ， 就 使 用 网 络 或 计算 机 资源 ， 被 看 作 是 非 授 权 访 
问 , 如 有 意 避 开 系统 访问 控制 机 制 ， 对 网 络 设备 及 资源 进行 非 正常 使 用 ,或 擅自 扩大 权限 ， 
越权 访问 信息 。 它 主要 有 假冒 、 身 份 攻击 、 非 法 用 户 进入 网 络 系统 进行 违法 操作 、 合 法 用 
户 以 未 授权 方式 进行 操作 等 几 种 形式 。 


1.3.3 ”主要 可 实现 的 威胁 


这 些 威胁 可 以 使 基本 威胁 成 为 可 能 ， 所 以 十 分 重要 。 它 包括 两 类 ， 即 渗入 威胁 和 植 入 
威胁 。 


1. 渗入 威胁 的 几 种 形式 


主要 的 渗入 威胁 有 : 假冒 、 旁 路 控制 、 授 权 侵 犯 。 

(1) 假冒 。 这 是 大 多 数 黑客 采用 的 攻击 方法 。 某 个 未 授权 实体 使 守卫 者 相信 它 是 一 个 
合法 的 实体 ， 从 而 抽取 该 合法 用 户 的 特权 。 

(2) 旁 路 控制 。 攻 击 者 通过 各 种 手段 发 现 本 应 保密 却 又 暴露 出 来 的 一 些 系 统 “ 特 征 ”， 
利用 这 些 “ 特 征 ”， 攻 击 者 绕 过 防线 守卫 者 渗入 到 系统 内 部 。 

(3) 授权 侵犯 。 也 称 为 “内 部 威胁 ”， 授 权 用 户 将 其 权限 用 于 其 他 未 授权 的 目的 。 

2. 植 入 威胁 的 主要 形式 


主要 的 植 入 威胁 有 : 特洛伊 木马 、 后 门 。 

(1) 特洛伊 木马 。 攻 击 者 在 正常 的 软件 中 隐藏 一 段 用 于 其 他 目的 的 程序 ， 这 段 隐藏 的 
程序 段 常 常 以 安全 攻击 作为 其 最 终 目标 。 

(2) 后 门 。 后 门 是 在 某 个 系统 或 某 个 文件 中 设置 的 “机 关 ”， 使 得 当 提供 特定 的 输入 
数据 时 允许 违反 安全 策略 。 


1.3.4 ”病毒 


病毒 是 能 够 通过 修改 其 他 程序 而 “感染 ”它们 的 一 种 程序 ， 修 改 后 的 程序 里 面包 含 了 
病毒 程序 的 一 个 副本 ， 这 样 它们 就 能 够 继续 感染 其 他 程序 。 编 制 或 者 在 计算 机 程序 中 插入 
的 破坏 计算 机 功能 或 者 破坏 数据 ， 影 响 计算 机 使 用 并 且 能 够 自我 复制 的 一 组 计算 机 指令 或 
者 程序 代码 被 称 为 计算 机 病毒 (Computer Virus)。 具 有 破坏 性 、 复 制 性 和 传染 性 。 

通过 网 络 传播 计算 机 病毒 ， 其 破坏 性 大 大 高 于 单机 系统 ， 使 用 户 很 难 防范 。 由 于 在 网 
络 环境 下 ， 计 算 机 病毒 有 不 可 估量 的 威胁 性 和 破坏 力 ， 因 此 ， 计 算 机 病毒 的 防范 是 网 络 安 
全 性 建设 的 重要 内 容 。 

网 络 防 病毒 技术 包括 预防 病毒 、 检 测 病毒 和 清除 病毒 3 种 技术 。 

(1) 预防 病毒 技术 。 它 通过 自身 常 驻 系统 内 存 ， 优 先 获得 系统 的 控制 权 ， 来 监视 和 判 
断 系统 中 是 否 有 病毒 存在 ， 进 而 防止 计算 机 病毒 进入 计算 机 系统 和 对 系统 进行 破坏 。 这 类 
技术 有 加 密 可 执行 程序 、 引 导 区 保护 、 系 统 监控 与 读 写 控制 (如 防 病毒 卡 等 )。 

(2) 检测 病毒 技术 。 它 是 通过 对 计算 机 病毒 的 特征 来 进行 判断 的 技术 ， 如 自身 校 验 、 
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关键 字 、 文 件 长 度 的 变化 等 。 

(3) 清除 病毒 技术 。 它 通过 对 计算 机 病毒 进行 分 析 ， 开 发 出 能 删除 病毒 程序 并 恢复 源 
文件 的 软件 。 

网 络 防 病毒 技术 的 具体 实现 方法 包括 对 网 络 服务 器 中 的 文件 进行 频繁 的 扫描 和 监测 ; 
在 工作 站 上 用 防 病毒 芯片 和 对 网 络 目录 及 文件 设置 访问 权限 等 。 


1.4 影响 计算 机 网 络 安全 的 因素 


Intemet 在 其 早期 是 一 个 开放 的 为 研究 人 员 服 务 的 互联 网 ， 是 非 营 利 性 的 信息 共享 载 
体 ， 所 以 几乎 所 有 的 Ptemet 协议 都 没有 考虑 安全 机 制 。 这 一 点 从 Intemet 上 最 通用 的 应 用 
FTP、Telnet 和 电子 邮件 中 的 用 户口 令 的 明文 传输 以 及 人 P 报 文 在 子 网 段 上 的 广播 传递 能 充 
分 地 体现 出 来 。 但 是 近 些 年 来 ，Internet 的 性 质 和 使 用 人 员 的 情况 发 生 了 很 大 的 变化 ， 使 得 
Internet 的 安全 问题 显得 越 来 越 突 出 。 随 着 Internet 的 全 球 普及 和 商业 化 ， 用 户 越 来 越 私人 
化 , 如 信用 卡号 等 同 其 自身 利益 相关 的 信息 也 通过 Intemet 传输 , 而 且 越 来 越 多 的 信息 放 在 
网 上 是 为 了 春 利 , 并 不 是 完全 免费 的 信息 共享 所 以 其 安全 性 也 成 为 人 们 日 趋 关注 的 问题 。 


1.4.1 计算 机 系统 因素 


计算 机 系统 的 脆弱 性 主要 来 自 于 操作 系统 的 不 安全 性 。 在 网 络 环境 下 ， 还 来 源 于 通信 
协议 的 不 安全 性 。 就 前 面 所 介绍 的 安全 等 级 而 言 ， 全 世界 达到 B3 级 别 的 操作 系统 只 有 一 
两 个 ， 达 到 Al 级 别 的 操作 系统 目前 还 没有 。 虽 然 Windows XP、Windows Server 2003 和 
Linux 操作 系统 达到 了 C2 级 别 ， 但 仍然 存在 着 许多 安全 漏洞 。 

其 次 ， 每 一 个 计算 机 系统 都 存在 超级 用 户 (如 Linux 中 的 root、Windows Server 2003 中 
的 Administrator)， 如 果 入 侵 者 得 到 了 超级 用 户口 令 , 整个 系统 将 完全 受 控 于 入 侵 者 。 现 在 ， 
人 们 正在 研究 一 种 新 型 的 操作 系统 ， 在 这 种 操作 系统 中 没有 超级 用 户 ， 也 就 不 会 由 于 有 超 
级 用 户 带 来 的 问题 。 现 在 很 多 系统 都 使 用 静态 口令 来 保护 系统 ， 但 口令 还 是 有 很 大 的 破解 
可 能 性 ， 而 且 不 完善 的 口令 维护 制度 会 导致 口令 被 人 盗用 。 口 令 丢 失 也 就 意味 着 安全 系统 
的 全 面 裔 省 。 

最 后 ， 计 算 机 可 能 会 因 硬件 或 软件 故障 而 停止 运转 ， 或 被 入 侵 者 利用 并 造成 损失 。 世 
界 上 没有 能 长 久 运 行 的 计算 机 ， 计 算 机 可 能 会 因 硬件 或 软件 的 故障 而 停止 运转 ， 或 被 入 侵 
者 利用 而 造成 损失 。 硬 盘 故 障 、 电 源 故障 和 芯片 、 主 板 故障 都 是 人 们 应 考虑 的 硬件 故障 问 
题 ， 软 件 故 障 则 可 能 出 现在 操作 系统 中 ， 也 可 能 出 现在 应 用 软件 中 。 


1.4.2 ”操作 系统 因素 


操作 系统 是 计算 机 重要 的 系统 软件 ， 它 控制 和 管理 计算 机 所 有 的 软 、 硬 件 资源 。 由 于 
操作 系统 的 重要 地 位 ， 攻 击 者 常常 以 操作 系统 为 主要 攻击 目标 。 入 侵 者 所 做 的 一 切 ， 也 大 
都 是 围绕 着 这 个 中 心目 标 展开 的 。 

首先 ， 无 论 哪 一 种 操作 系统 ， 其 体系 结构 本 身 就 是 不 安全 的 一 种 因素 。 由 于 操作 系统 
的 程序 是 可 以 动态 链接 的 ， 包 括 IO 的 驱动 程序 与 系统 服务 都 可 以 用 打 补 丁 的 方法 升级 和 
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进行 动态 链接 。 这 种 方法 该 产品 的 厂商 可 以 使 用 ，“ 黑 客 ” 成 员 也 可 以 利用 ， 这 种 动态 链 
接 方法 也 正 是 计算 机 病毒 产生 的 温床 。 操 作 系 统 支 持 的 程序 动态 链接 与 数据 动态 交换 是 现 
代 系 统 集成 和 系统 扩展 的 必 备 功能 ， 因 此 ， 这 是 相互 矛盾 的 两 个 方面 。 

另 一 个 原因 在 于 它 可 以 创建 进程 ， 即 使 在 网 络 的 节点 上 同样 也 可 以 进行 远程 进程 的 创 
建 与 激活 ， 更 重要 的 是 被 创建 的 进程 具有 可 以 继续 创建 进程 的 权力 。 这 一 点 加 上 操作 系统 
支持 在 网 络 上 传输 文件 ， 在 网 络 上 能 加 载 程序 ， 二 者 结合 起 来 就 构成 可 以 在 远 端 服务 器 上 
安装 “间谍 ”软件 的 条 件 。 如 果 把 这 种 “间谍 ”软件 以 打 补 丁 的 方式 植 入 合法 用 户 程序 中 ， 
尤其 是 植 入 特权 用 户 上 ， 那 么 ， 系 统 进程 与 作业 监视 程序 根本 监测 不 到 “间谍 ”的 存在 。 

操作 系统 中 ， 通 常 都 有 一 些 守护 进程 ， 这 种 软件 实际 上 是 一 些 系统 进程 ， 它 们 总 是 等 
待 一 些 机 会 的 出 现 。 一 旦 有 条 件 ， 程 序 就 可 以 运行 下 去 ， 这 些 软 件 常常 被 黑客 利用 。 问 题 
不 在 于 有 没有 这 些 守护 进程 ， 而 在 于 它们 在 Linux、Windows 操作 系统 中 具有 与 其 他 操作 
系统 核心 层 软件 同等 的 权限 。 

最 后 , 网 络 操作 系统 提供 的 远程 过 程 调用 (RPC) 服 务 以 及 它 所 安排 的 无 口令 入 口 也 是 黑 
客 出 入 的 通道 。 操 作 系统 都 提供 远程 进程 调用 (RPC) 服 务 ， 而 它们 提供 的 安全 验证 功能 却 很 
有 限 。 

操作 系统 有 Debug( 调 试 ) 和 Wizard( 向 导 ) 功 能 。 许多 黑客 精通 这 些 功 能 ， 利 用 这 些 技术 
他 们 几乎 可 以 为 所 欲 为 。 操 作 系 统 安排 的 口令 入 口 是 为 系统 开发 人 员 提 供 的 便捷 入 口 ， 但 
也 经 常 被 黑客 所 利用 。 操 作 系 统 还 提供 了 隐蔽 的 通道 。 这 种 系统 不 但 复杂 而 且 还 存在 一 定 
的 内 在 危险 ， 危 险 之 一 就 是 授权 进程 或 用 户 的 访问 权限 可 能 导致 用 户 得 到 限定 之 外 的 访问 
权力 。 


1.4.3 ”人 为 因素 


所 有 的 网 络 系统 都 离 不 开 人 的 管理 ， 但 大 多 数 情况 下 又 缺少 安全 管理 员 ， 特 别 是 高 素 
质 的 网 络 管理 员 。 人 为 的 无 意 失误 是 造成 网 络 不 安全 的 重要 原因 。 网 络 管理 员 在 这 方面 不 
但 肩负 重任 ， 还 面临 着 越 来 越 大 的 压力 ， 考 虑 稍 有 不 周 ， 使 安全 方面 配置 不 当 ， 就 会 造成 
安全 漏洞 。 另 外 ， 用 户 安全 意识 不 强 ， 不 按照 安全 规定 操作 ， 如 口令 选择 不 慎 ， 将 自己 的 
账户 随意 转借 他 人 或 与 别人 共享 ， 都 会 对 网 络 安全 带 来 威胁 。 


1.5 计算 机 网 络 安全 技术 


现在 ， 高 速 发 展 的 互联 网 已 经 深入 到 社会 生活 的 各 个 方面 。 对 个 人 而 言 ， 互 联网 已 使 
人 们 的 生活 方式 发 生 了 翻天 覆 地 的 变化 ， 对 企业 而 言 ， 互 联网 改变 了 企业 传统 的 营销 方式 
及 内 部 管理 机 制 。 但 是 ， 在 享受 信息 的 高 度 网 络 化 带 来 的 种 种 便利 时 ， 还 必须 应 对 随 之 而 
来 的 信息 安全 方面 的 种 种 挑战 ， 因 为 没有 安全 保障 的 网 络 可 以 说 是 一 座 空中 楼 阁 ， 安 全 性 
已 逐渐 成 为 网 络 建设 的 第 一 要 素 。 特 别 是 随 着 网 络 规模 的 逐渐 增 大 ， 所 存储 的 数据 逐渐 增 
多 ,使 用 者 要 想 确 保 自己 的 资源 不 受到 非法 的 访问 与 自 改 ， 就 要 用 到 访问 控制 机 制 ， 这 就 
必须 要 掌握 一 些 相 关 的 网 络 安全 技术 。 
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1.5.1 数据 加 密 与 认证 


加 密 将 防止 数据 被 查看 或 修改 ， 并 在 不 安全 的 信道 上 提供 安全 的 通信 信道 。 加 密 的 功 
能 是 将 明文 通过 某 种 算法 转换 成 一 段 无 法 识别 的 密 文 。 在 古老 的 加 密 方法 中 ， 加 密 的 算法 
和 加 密 的 密 钥 都 必须 保密 ， 和 否则 就 会 被 攻击 者 破译 。 例 如 ， 古 人 将 一 段 羊 皮条 缠绕 在 一 根 
圆 木 上 ， 然 后 在 其 上 写 下 要 传送 书信 的 内 容 ， 展 开 羊皮 条 后 这 些 书信 内 容 将 变 成 一 堆 杂乱 
的 图 文 ， 那 么 这 种 将 羊皮 条 缠绕 在 圆 木 上 的 做 法 可 视 为 加 密 算 法 ， 而 圆 木 棍 的 粗细 、 皮 条 
的 缠绕 方向 就 是 密 钥 。 在 现代 加 密 体 系 中 ， 算 法 的 私密 性 已 经 不 再 需要 ， 信 息 的 安全 依赖 
于 密 钥 的 保密 性 。 一 般 的 数据 加 密 模 型 见 图 1.3。 


图 1.3 一般 的 数据 加 密 模型 


数字 认证 技术 泛 指使 用 现代 计算 机 技术 和 网 络 技术 进行 的 认证 。 数 字 认 证 的 引入 对 社 
会 的 发 展 和 进步 有 很 大 帮助 ， 数 字 认 证 可 以 减少 运营 成 本 和 管理 费用 。 数 字 认 证 可 以 减少 
金融 领域 中 的 多 重 现金 处 理 和 现金 欺诈 。 随 着 现代 网 络 技术 和 计算 机 技术 的 发 展 ， 数 字 坎 
诈 的 现象 越 来 越 普遍 ， 比 如 说 ， 用 户 名 下 文件 和 资金 传输 可 能 会 被 伪造 或 更 改 。 

数字 认证 提供 了 一 种 机 制 ， 使 用 户 能 证 明 其 发 出 信息 来 源 的 正确 性 和 发 出 信息 的 完整 
性 。 数 字 认 证 的 另 一 个 主要 作用 是 操作 系统 可 以 通过 它 来 实现 对 资源 的 访问 控制 。 


1.5.2 ”防火 墙 


“防火 墙 ” 是 一 种 由 计算 机 硬件 和 软件 的 组 合 使 互联 网 与 内 部 网 之 间 建 立 起 一 个 安全 
网 关 (Security Gateway)， 从 而 保护 内 部 网 免 受 非法 用 户 的 侵入 。 它 其 实 就 是 一 个 把 互联 网 
与 内 部 网 (通常 为 局 域 网 或 城 域 网 ) 隔 开 的 屏障 。 

防火 墙 作为 最 早出 现 的 网 络 安全 产品 和 使 用 量 最 大 的 安全 产品 ， 也 受到 用 户 和 研发 机 
构 的 青睐 。 以 往 在 没有 防火 墙 时 , 局域网 内 部 上 的 每 个 节点 都 暴露 给 Intemet 上 的 其 他 主机 ， 
此 时 局 域 网 的 安全 性 要 由 每 个 节点 的 坚固 程度 来 决定 , 并 且 安 全 性 等 同 于 其 中 最 弱 的 节点 。 
而 防火 墙 是 放置 在 局 域 网 与 外 部 网 之 间 的 一 个 隔离 设备 ， 它 可 以 识别 并 屏蔽 非法 请 求 ， 有 
效 地 防止 跨越 权限 的 数据 访问 。 防 火 墙 将 局 域 网 的 安全 性 统一 到 它 本 身 ， 网 络 安全 性 是 在 
防火 墙 系统 上 得 到 加 固 ， 而 不 是 分 布 在 内 部 网 络 的 所 有 节点 上 ， 这 就 简化 了 局 域 网 的 安全 
管理 。 

防火 墙 是 由 软件 、 硬 件 构成 的 系统 ， 用 来 在 两 个 网 络 之 间 实 施 接 入 控制 策略 。 接 入 控 
制 策略 是 由 使 用 防火 墙 的 单位 自行 制定 的 ， 为 的 是 可 以 最 适合 本 单位 的 需要 。 防 火 墙 内 的 
网 络 称 为 “可 信赖 的 网 络 ”(Trusted Network)， 而 将 外 部 的 因特网 称 为 “不 可 信赖 的 网 络 ” 


筑 | (Untrusted Network)。 防 火 墙 可 用 来 解决 内 联网 和 外 联网 的 安全 问题 。 设 立 防 火 墙 的 目的 是 
机 | 保护 内 部 网 络 不 受 外 部 网 络 的 攻击 ， 以 及 防止 内 部 网 络 的 用 户 向 外 泄密 。 


位 | 1.5.3 入侵 检测 
安 | 1 入侵 检测 的 概念 


传统 上 , 一 般 采 用 防火 墙 作为 系统 安全 的 第 一 道 屏障 。 但 是 随 着 网 络 技术 的 高 速 发 展 、 
攻击 者 技术 的 日 趋 成 熟 以 及 攻击 手法 的 日 趋 多 样 ， 单 纯 的 防火 墙 已 经 不 能 很 好 地 完成 安全 
| 防护 工作 。 入 侵 检 测 技术 是 继 “ 防 火 墙 ”、“ 数 据 加 密 ” 等 传统 安全 保护 措施 之 后 新 一 代 
的 安全 保障 技术 。 

入 侵 (Intrusion) 是 指 试图 破坏 计算 机 保密 性 、 完 整 性 、 可 用 性 或 可 控 性 的 一 系列 活动 。 
入 侵 活动 包括 非 授 权 用 户 试图 存 取 数 据 、 处 理 数据 或 者 妨碍 计算 机 的 正常 运行 。 入 侵 检测 
(Intrusion Detection) 是 对 入 侵 行为 的 检测 , 它 通过 收集 和 分 析 计 算 机 网 络 或 计算 机 系统 中 若 
干 关键 点 的 信息 ， 检 查 网 络 或 系统 中 是 否 存 在 违反 安全 策略 的 行为 和 被 攻击 的 迹象 。 入 侵 
检测 作为 一 种 积极 、 主 动 的 安全 防护 技术 ， 提 供 了 对 内 部 攻击 、 外 部 攻击 和 误 操 作 的 实时 
保护 ， 在 网 络 系统 受到 危害 之 前 响应 入 侵 并 进行 拦截 。 


2. 入 侵 检 测 的 分 类 


1)” 从 技术 上 分 类 

从 技术 上 划分 ， 入 侵 检测 有 异常 检测 模型 和 误 用 检测 模型 两 种 检测 模型 。 

(1) 异常 检测 模型 (Anomaly Detection): 检测 与 可 接受 行为 之 间 的 偏差 。 如 果 可 以 定义 
每 项 可 接受 的 行为 ， 那 么 每 项 不 可 接受 的 行为 就 应 该 是 入 侵 。 首 先 总 结 正常 操作 应 该 具有 
的 特征 (用 户 轮廓 )， 当 用 户 活动 与 正常 行为 有 重大 偏离 时 即 被 认为 是 入 侵 。 这 种 检测 模型 
漏 报 率 低 、 误 报 率 高 。 因 为 它 不 需要 对 每 种 入 侵 行 为 进行 定义 ， 所 以 能 有 效 地 检测 未 知 的 
入 侵 。 

(2) 误 用 检测 模型 (Misuse Detection)。 检 测 与 已 知 的 不 可 接受 行为 之 间 的 匹配 程度 。 
如 果 可 以 定义 所 有 的 不 可 接受 行为 ， 那 么 每 种 能 够 与 之 匹配 的 行为 都 会 引起 报警 。 收 集 非 
正常 操作 的 行为 特征 ， 建 立 相关 的 特征 库 ， 当 监测 的 用 户 或 系统 行为 与 库 中 的 记录 相 匹配 
时 ， 系 统 就 认为 这 种 行为 是 入 侵 。 这 种 检测 模型 误 报 率 低 、 漏 报 率 高 。 对 于 已 知 的 攻击 ， 
它 可 以 详细 、 准 确 地 报告 出 攻击 类 型 ， 但 是 对 未 知 攻击 却 效果 有 限 ， 而 且 特 征 库 必 须 不 断 
更 新 。 

2) ”按照 检测 对 象 分 类 

按照 检测 对 象 划 分 ， 入 侵 检测 有 基于 主机 、 基 于 网 络 和 混合 型 3 种 模型 。 

(1) 基于 主机 。 系 统 分 析 的 数据 是 计算 机 操作 系统 的 事件 日 志 、 应 用 程序 的 事件 日 志 、 
系统 调用 、 端 口 调用 和 安全 审计 记录 。 主 机 型 入 侵 检测 系统 保护 的 一 般 是 所 在 的 主机 系统 ， 
是 由 代理 (Agent) 来 实现 的 。 代 理 是 运行 在 目标 主机 上 的 短小 的 可 执行 程序 ， 它 们 与 命令 控 
制 台 (Console) 通 信 。 

(2) 基于 网 络 。 系 统 分 析 的 数据 是 网 络 上 的 数据 包 。 网 络 型 入 侵 检测 系统 担负 着 保护 
整个 网 段 的 任务 ， 基 于 网 络 的 入 侵 检 测 系统 由 遍及 网 络 的 传感器 (SensonD) 组 成 。 传 感 器 是 一 
台 将 以 太 网 卡 置 于 混杂 模式 的 计算 机 ， 用 于 嗅 探 网 络 上 的 数据 包 。 
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(3) 混合 型 。 基 于 网 络 和 基于 主机 的 入 侵 检测 系统 都 有 不 足 之 处 ， 会 造成 防御 体系 的 
不 全 面 ， 而 综合 了 基于 网 络 和 基于 主机 的 混合 型 入 侵 检 测 系统 既 可 以 发 现 网 络 中 的 攻击 信 
息 ， 也 可 以 从 系统 日 志 中 发 现 异常 情况 。 


1.5.4 ”计算 机 病毒 防治 


计算 机 病毒 是 一 种 在 计算 机 系统 运行 过 程 中 能 把 自身 精确 复制 或 有 修改 地 复制 到 其 他 
程序 内 的 程序 。 它 隐藏 在 计算 机 数据 资源 中 ， 利 用 系统 资源 进行 繁殖 ， 并 破坏 或 干扰 计算 
机 系统 的 正常 运行 。 

杀毒 软件 是 见得 最 多 ， 也 应 用 最 为 普遍 的 安全 技术 方案 ， 因 为 这 种 技术 实现 起 来 最 为 
简单 ， 但 杀毒 软件 的 主要 功能 就 是 杀毒 ， 功 能 十 分 有 限 ， 不 能 完全 满足 网 络 安全 的 需要 。 
这 种 方式 对 于 个 人 用 户 或 小 企业 或 许 还 能 满足 需要 ， 但 如 果 个 人 或 企业 有 电子 商务 方面 的 
需求 ， 就 不 能 完全 满足 了 。 可 喜 的 是 随 着 杀毒 软件 技术 的 不 断 发 展 ， 现 在 的 主流 杀毒 软件 
同时 还 可 以 预防 木马 及 其 他 的 一 些 黑客 程序 的 入 侵 。 还 有 的 杀毒 软件 开发 商 同时 提供 了 软 
件 防火 墙 , 具有 了 一 定 防火 墙 功 能 ， 在 一 定 程度 上 能 起 到 硬件 防火 墙 的 功效 ， 如 KV3000、 
金山 防火 墙 、Norton 防火 墙 等 。 


复习 思考 题 一 

一 、 填 空 题 

1. 网 络 安全 从 本 质 上 讲 就 是 网 络 上 的 ， 是 指 网 络 系统 的 硬件 、 软 件 及 其 系统 
中 的 受到 保护 ， 不 受 偶然 的 或 者 恶意 的 原因 而 遭 到 破坏 、 和 更改、 泄露， 系统 能 连 
续 可 靠 正 常 地 运行 ， 网 络 服务 不 中 断 。 

2. 安全 威胁 是 指 某 个 人 、 物 、 事件 或 概念 对 某 一 资源 的 、 完 整 性 ,可 用 性 所 
造成 的 

3. 被 动 攻击 的 特点 是 偷 听 或 监视 传送 ， 其 目的 是 获得 

4. 从 技术 上 划分 ， 入 侵 检测 有 两 种 检测 模型 ， 分 别 是 和 


5. 数字 认证 提供 了 一 种 机 制 使 用 户 能 证 明 其 发 出 信息 来 源 的 正确 性 和 发 出 信息 的 完 
整 性 。 数 字 认 证 的 另 一 主要 作用 是 . 5 

6. 是 一 种 由 计算 机 硬件 和 软件 的 组 合 使 互联 网 与 内 部 网 之 间 建 立 起 一 个 安全 
网 关 ， 从 而 保护 内 部 网 免 受 非法 用 户 的 侵入 。 

二 、 单 项 选择 题 

1. 网 络 系统 面临 的 威胁 主要 是 来 自 人 为 和 自然 环境 影响 ， 这 些 威胁 大 致 可 分 为 四 
两 大 类 。 入 侵 者 对 传输 中 的 信息 或 存储 的 信息 进行 各 种 非法 处 理 ， 如 有 选择 地 更 改 、 插 入 、 
延迟 、 删 除 或 复制 这 些 信 息 ， 这 是 属于 _@_。 入 侵 者 通过 观察 网 络 线路 上 的 信息 ， 而 不 干 
扰 信息 的 正常 流动 ， 如 搭 线 窃 听 或 非 授 权 地 阅读 信息 ， 这 是 属于 @ 。 

@ (  )A. 无 意 威胁 和 故意 威胁 B. 人 为 和 自然 环境 

C. 主动 攻击 和 被 动 攻击 D. 软件 系统 和 硬件 系统 
@ (  )A. 系统 缺陷  B. 漏洞 威胁 C. 主动 攻击 DD. 被动 攻击 


让 @ ( ”)A. 系统 缺陷 。 B. 漏洞 威胁 C. 主动 攻击 D. 被 动 攻击 
机 2. 计算 机 病毒 不 具有 (  ) 特 征 。 
只 A. 破坏 性 B. 隐藏 性 C. 传染 性 D. 无 针对 性 
信 3. 拒绝 服务 攻击 的 后 果 是 (  )。 
及 A. 被 攻击 服务 器 资源 耗 尽 B. 被 攻击 者 无 法 提供 正常 的 网 络 服务 
全 C. 被 攻击 者 系统 崩溃 D.A、B、C 都 可 能 
三 、 简 答题 
. 简 述 网 络 安全 的 基本 含义 。 


1 
2. 网 络 所 面临 的 安全 威胁 主要 有 哪些 ? 
3. 常用 的 网 络 安全 技术 有 哪些 ? 
4. 计算 机 病毒 的 定义 是 什么 ? 

5. 按照 检测 对 象 划分 ， 入 侵 检测 有 哪 3 种 模型 ? 


第 2 章 数字 加 密 与 认证 技术 


学 习 目 标 
系统 学 习 密 码 学 的 基本 概念 ， 对 称 密 钥 加 密 和 公开 密 钥 加 密 技术 ， 密 钥 管 理 的 主要 内 
容 ， 认证 机 构 CA 的 功能 ， 数 字 签 名 和 数字 证 书 的 功能 ， 消 息 认 证 和 身份 认证 的 实现 方法 ， 
数字 证 书 的 使 用 。 通 过 本 章 的 学 习 ， 读 者 应 掌握 以 下 内 容 : 
@ 掌握 密码 学 的 基本 概念 ， 数 字 签 名 和 数字 证 书 的 功能 ， 认 证 机 构 CA 的 功能 ， 消 
息 认 证 和 身份 认证 的 实现 方法 。 
@ 掌握 对 称 密 钥 加密 和 公开 密 钥 加 密 技 术 ， 密 钥 管理 的 主要 内 容 ， 数 字 证 书 的 使 用 
实例 。 


2.1 密 码 学 


数据 加 密 是 计算 机 网 络 安全 很 重要 的 一 个 组 成 部 分 。 在 因特网 上 进行 文件 传输 、 电 子 
邮件 商务 往来 存在 许多 不 安全 因素 ， 尤 其 是 一 些 机 密 文件 在 网 络 上 传输 时 。 而 且 这 种 不 安 
全 性 是 因特网 本 身 存 在 的 且 TCP/IP 协议 所 固有 的 ， 包 括 一 些 基于 TCP/IP 的 服务 。 解 决 上 
述 难题 的 方案 就 是 加 密 ， 加 密 后 的 口令 即使 被 黑客 获得 也 是 不 可 读 的 ， 加 密 后 的 文件 没有 
收 件 人 的 私 钥 无 法 解 开 ， 文 件 成 为 一 大 堆 无 任何 实际 意义 的 乱码 。 加 密 在 网 络 上 的 作用 就 
是 防止 有 用 或 私有 化 信息 在 网 络 上 被 拦截 和 窃取 。 文 件 加 密 不 只 用 于 电子 邮件 或 网 络 上 的 
文件 传输 ， 也 可 用 于 对 静态 文件 的 保护 ， 如 PIP( 个 人 信息 管理 ) 软 件 就 可 以 对 磁盘 、 硬 盘 中 
的 文件 或 文件 夹 进行 加 密 ， 以 防 他 人 窃取 其 中 的 信息 。 

加 密 是 保障 数据 安全 的 一 种 方式 ， 是 一 种 主动 的 信息 安全 防范 措施 ， 其 原理 是 利用 加 
密 算 法 ， 将 明文 转换 成 为 无 意义 的 密 文 ， 阻 止 非法 用 户 理解 原始 数据 ， 从 而 确保 数据 的 保 
密 性 。 明 文 变 为 密 文 的 过 程 称 为 加 密 ， 由 密 文 还 原 为 明文 的 过 程 称 为 解密 ， 加 密 和 解密 的 
规则 称 为 密码 算法 。 在 加 密 和 解密 的 过 程 中 ,由 加 密 者 和 解密 者 使 用 的 加 、 解 密 可 变 参数 叫 
作 密 钥 。 目 前 ， 获 得 广泛 应 用 的 两 种 加 密 技 术 是 对 称 密 钥 加 密 体制 和 非 对 称 密 钥 加 密 体制 。 

密 钥 是 加 密 运 算 和 解密 运算 的 关键 , 也 是 密码 系统 的 关键 。 根据 近代 密码 体制 的 观点 ， 
密码 系统 的 安全 取决 于 密 钥 的 安全 ， 而 不 是 密 钥 算 法 或 保密 装置 本 身 的 安全 。 密 码 体 制 可 
以 公开 ， 密 码 设备 可 以 丢失 ， 同 一 型 号 的 加 密 设备 可 以 继续 使 用 ， 但 若 密 钥 一 旦 丢失 或 出 
错 ， 就 会 使 非法 用 户 窃取 信息 ， 将 密 钥 泄露 给 他 人 意味 着 加 密 文档 还 不 如 使 用 明文 ， 因 此 
密 钥 管理 在 计算 机 的 安全 保密 系统 的 设计 中 极为 重要 。 密 钥 管理 综合 了 密 钥 的 产生 、 分 配 、 
存储 、 组 织 、 使 用 、 销 毁 等 一 系列 技术 问题 ， 同 时 又 包含 了 行政 管理 和 人 员 素 质问 题 。 

为 保证 网 络 信息 的 安全 ， 当 今世 界 各 主要 国家 的 政府 部 门 都 十 分 重视 密码 工作 ， 有 的 
设立 庞大 机 构 ， 拨 出 巨额 经 费 ， 集 中 数 以 万 计 的 专家 和 科技 人 员 ， 投 入 大 量 高 速 的 电子 计 
算 机 和 其 他 先进 设备 进行 研究 。 同 时 ， 企 业界 和 学 术 界 也 对 密码 设置 日 益 重 视 ， 不 少数 学 
家 、 计 算 机 学 家 和 其 他 有 关 学 科 的 专家 也 投身 于 密码 学 的 研究 行列 ， 这 些 都 加 快 了 密码 学 


Q@_ 


的 发 展 。 
2.1.1 加 密 的 起 源 


加 密 作为 保障 数据 安全 的 一 种 方式 ， 其 起 源 要 追溯 到 公元 前 2000 年 , 埃及 人 是 最 先 使 
用 象形 文字 作为 信息 编码 的 ， 随 着 时 间 的 推移 ， 巴 比 伦 、 美 索 不 达 米 亚 和 希腊 文明 都 开始 
使 用 一 些 方 法 来 保护 它们 的 书面 信息 。 

近期 加 密 技术 主要 应 用 于 军事 领域 ， 最 广为人知 的 编码 机 器 是 German Enigma 机 。 在 
第 二 次 世界 大 战 中 ， 德 国人 利用 它 创建 了 加 密 信息 。 当 初 ， 计 算 机 的 研究 就 是 为 了 破解 德 
国人 的 密码 ， 人 们 并 没有 想到 计算 机 为 今天 带 来 的 信息 革命 。 随 着 计算 机 运算 能 力 的 增强 ， 
过 去 的 加 密 就 变 得 十 分 简单 ， 于 是 人 们 又 不 断 地 研究 出 新 的 数据 加 密 方式 ， 如 利用 RSA 算 
法 产生 的 私 钥 和 公 钥 就 是 在 这 个 基础 上 应 运 而 生 的 。 


2.1.2 ”密码 学 基本 概念 


密码 学 是 研究 编制 密码 和 破译 密码 的 技术 科学 。 研 究 密 码 变 化 的 客观 规律 ， 应 用 于 编 
制 密码 以 保守 通信 秘密 的 ， 称 为 编码 学 ; 应 用 于 破译 密码 以 获取 通信 情报 的 ， 称 为 破译 学 ， 
统称 密码 学 。 

密码 是 通信 双方 按 约 定 的 规则 进行 信息 交流 的 一 种 重要 保密 手段 。 依 照 这 些 法 则 ， 变 
明文 为 密 文 ， 称 为 加 密 变换 ， 变 密 文 为 明文 ， 称 为 解密 变换 。 早 期 密码 仅 对 文字 或 数码 进 
行 加 、 解 密 变换 ， 随 着 通信 技术 的 发 展 ， 对 语音 、 图 像 、 数 据 等 都 可 实施 加 、 解 密 变换 。 

加 密 有 载体 加 密 和 通信 加 密 两 种 。 密 码 学 主要 研究 通信 加 密 ， 而 且 仅 限于 数据 通信 
加 密 。 

要 详细 、 深 入 地 了 解密 码 学 ， 首 先 要 掌握 以 下 基本 术语 。 

e ”密码 (Cipher)。 用 来 检查 对 系统 或 数据 未 经 验证 访问 的 安全 性 的 术语 或 短语 。 

@ ”加 密 (Encipher)。 通 过 密码 系统 把 明文 变换 为 不 可 懂 的 形式 的 密 文 。 

e@ ”加 密 算法 (Encryption Algorithm)。 实 施 一 系列 变换 ， 使 信息 变 成 密 文 的 一 组 数学 
规则 。 
解密 (DecrypD。 使 用 适当 的 密 钥 ， 将 已 加 密 的 文本 转换 成 明文 。 

密 文 (Ciphertext)。 经 过 加 密 处 理 而 产生 的 数据 ， 其 语义 内 容 是 不 可 用 的 。 

明文 (Plaintext)。 可 理解 的 数据 ， 其 语义 内 容 是 可 用 的 。 

公共 密 钥 。 公 共 密 钥 是 加 密 系 统 的 公开 部 分 ， 只 有 所 有 者 才 知 道 私 用 部 分 的 内 容 。 
私有 密 钥 。 公 钥 加 密 系统 的 私有 部 分 。 私 有 密 钥 是 保密 的 ， 不 通过 网 络 传输 。 
数字 签名 (Signature)。 附 加 在 数据 单元 上 的 一 些 数 据 , 或 是 对 数据 单元 所 作 的 密码 
变换 。 这 种 数据 或 变换 允许 数据 单元 的 接收 者 用 以 确认 数据 单元 的 来 源 和 数据 单 
元 的 完整 性 ， 并 保护 数据 ， 防 止 被 他 人 (如 接收 者 ) 伪 造 。 

@ ”身份 认证 (Authentication)。 验证 用 户 、 设备 和 其 他 实体 的 身份 ; 验证 数据 的 完整 性 。 
e@ ”机 密 性 (Confidentiality)。 这 一 性 质 使 信息 不 泄露 给 非 授 权 的 个 人 、 实 体 或 进程 ， 

不 为 其 所 用 。 

@ ”数据 完整 性 (Data Integrity)。 信 息 系 统 中 的 数据 与 原文 档 相 同 ， 未 曾 遭 受 偶然 或 恶 
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. 防 抵赖 CNon-Repudiation)。 防止 在 通信 中 涉及 的 实体 不 承认 参加 了 该 通信 的 全 部 
或 一 部 分 。 
其 中 加 密 与 解密 是 一 对 相反 的 概念 ， 图 2.1 给 出 了 加 密 与 解密 过 程 的 示意 图 。 
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图 2.1 加 密 与 解密 过 程 示意 图 


2.1.3 ”传统 加 密 技术 
传统 的 加 密 方法 可 以 分 为 苦 代 密码 与 换 位 密码 两 类 。 
1. 蔡 代 密码 


在 替代 密码 中 ， 用 一 组 密 文字 母 来 代替 一 组 明文 字母 可 以 隐藏 明文 ， 但 保持 明文 字母 
位 置 不 变 。 

最 古老 的 替代 密码 是 恺 撤 密码 ， 它 用 D 表示 a， 用 卫 表 示 b,， 用 上 表示 c，…… ， 用 C 
表示 z， 也 就 是 说 密 文字 母 相 对 明文 字母 左 移 了 3 位 。 为 清楚 起 见 ， 一 律 用 小 写 表 示 明 文 ， 
用 大 写 表 示 密 文 ， 这 样 明文 的 “cipher” 就 变 成 了 密 文 的 “FLSKHU”。 更 一 般 地 ， 可 以 让 
密 文字 母 相 对 明文 字母 左 移 玉 位 ， 这 样 天 就 成 了 加 密 和 解密 的 密 钥 。 这 种 密码 是 很 容易 破 
译 的 ， 因 为 最 多 只 需 尝 试 25 次 (K=1~25) 即 可 轻松 破译 密码 。 

较为 复杂 的 密码 使 明文 字母 和 密 文字 母 之 间 互 相映 射 , 它 没有 规律 可 循 ， 比 如 将 26 个 
英文 字母 随意 映射 到 其 他 字母 上 ， 这 种 方法 称 为 单字 母 表 蔡 换 ， 其 密 钥 是 对 应 于 整个 字母 
表 的 26 个 字母 。 虽 然 初 看 起 来 这 个 系统 是 很 安全 的 ， 因 为 若 要 试 遍 所 有 26 种 可 能 的 密 钥 ， 
即使 计算 机 每 微 秒 试 一 个 密 钥 ， 也 需要 1013 年 。 但 事实 上 完全 不 需要 这 么 做 ,破译 者 只 要 
拥有 很 少 一 点 密 文 ， 利 用 自然 语言 的 统计 特征 ， 很 容易 就 可 破译 密码 。 破 译 的 关键 在 于 找 
出 各 种 字母 或 字母 组 合 出 现 的 频率 ， 比 如 经 统计 发 现 ， 英 文中 字母 e 出 现 的 频率 最 高 ， 其 
次 是 ft o、a、n、i 等， 最 常见 的 两 字母 组 合 依次 为 也 、i、er、re 和 an， 最 常见 的 3 字母 
组 合 依次 为 the、ing、and 和 ion。 因 此 破译 者 首先 可 将 密 文中 出 现 频率 最 高 的 字母 定 为 e， 
频率 次 高 的 字母 定 为 t， 然 后 猜测 最 常见 的 两 字母 组 、3 字母 组 ， 比 如 密 文中 经 常 出 现 tXe， 
就 可 以 推测 X 很 可 能 就 是 h， 如 经 常 出 现 thYt， 则 Y 很 可 能 就 是 a 等 。 采 用 这 种 合理 的 推 
测 ， 破 译 者 就 可 以 逐 字 逐 句 组 织 出 一 个 试验 性 的 明文 。 

为 去 除 密 文中 字母 出 现 的 频率 特征 ， 可 以 使 用 多 张 密码 字母 表 ， 对 明文 中 不 同位 置 上 
的 字母 用 不 同 的 密码 字母 表 来 加 密 。 比 如 任意 选择 26 张 不 同 的 单字 母 密码 表 ， 相 互 间 排 定 
一 个 顺序 ， 然 后 选择 一 个 简短 易 记 的 单词 或 短语 作为 密 钥 ， 在 加 密 一 条 明文 时 ， 将 密 钥 重 
复写 在 明文 的 上 面 ， 则 每 个 明文 字母 上 的 密 钥 字母 即 指出 该 明文 字母 用 哪 一 张 单字 母 密码 
表 来 加 密 。 

比如 要 加 密 明 文 “please carry the last plan”， 密 钥 为 “computer”， 则 将 “computer” 
重复 写 在 报 文 上 面 ， 如 图 2.2 所 示 。 
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党 图 2.2 把 一 段 明文 用 密 钥 为 “computer” 进 行 加 密 


于 是 第 1 个 明文 字母 p 用 第 3 张 (假设 a 一 z 分 别 表示 顺序 1 一 26) 单 字母 密码 表 加 密 ， 
全 | 第 2 个 明文 字母 1 用 第 12 张 单字 母 密码 表 加 密 …… 显 然 ， 同 一 个 明文 字母 因 位 置 不 同 而 在 
密 文中 可 能 用 不 同 的 字母 来 表示 ， 从 而 消除 了 各 种 字母 出 现 的 频率 特征 。 

虽然 破译 多 字母 密码 表 要 困难 一 些 ， 但 如 果 破 译 者 手头 有 较 多 的 密 文 ， 仍 然 是 可 以 破 
译 的 ， 破 译 的 诀窍 在 于 猜测 密 钥 的 长 度 。 首 先 破 译 者 假设 密 钥 的 长 度 ， 然 后 将 密 文 按 每 行 
大 个 字母 排 成 若干 行 ， 如 果 猜 测 正 确 ， 那 么 同一 列 的 密 文字 母 应 是 用 同一 单字 母 密码 表 加 
密 的 ， 因 此 同一 列 中 各 密 文字 母 的 频率 分 布 应 与 英文 相同 ， 即 最 常用 的 字母 (对 应 明文 字母 
e) 频 率 为 13%， 次 常用 的 字母 (对 应 明文 字母 0 频率 为 9% 等 。 如 果 猜 测 不 正确 ， 则 换 一 个 大 
值 重 试 ， 一 旦 猜测 正确 ， 即 可 逐 列 使 用 破译 单字 母 表 密码 的 方法 进行 破译 。 

2. 换 位 密码 


换 位 密码 (又 叫 置换 加 密 ) 是 将 明文 字母 互相 换 位 ， 明 文 的 字母 保持 相同 ， 但 顺序 被 打 
乱 。 它 最 大 的 特点 是 不 需 对 明文 字母 作 任 何 变换 ， 只 需 对 明文 字母 的 顺序 按 密 钥 的 规律 相 
应 地 排列 组 合 后 输出 形成 密 文 。 

线路 加 密 法 是 一 种 换 位 加 密 。 在 线路 加 密 法 中 ， 明 文 的 字母 按 规 定 的 次 序 排列 在 矩阵 
中 ， 然 后 用 另 一 种 次 序 选 出 矩阵 中 的 字母 ， 排 列 成 密 文 。 如 纵 行 换 位 密码 中 ， 明 文 以 固定 
的 宽度 水 平地 写 出 ， 密 文 按 垂直 方向 读 出 。 

明文 : COMPUTERGRAPHICSMAYBESLOWBUTATLEASTITSEXPENSIVE 

将 明文 按 长 度 10 为 一 行 ， 排 成 纵 列 : 

COMPUTERGR 

APHICSMAYB 

ESLOWBUTAT 

LEASTITSEX 

PENSIVE 

然后 按 垂直 方向 写 出 密 文 : 

密 文 : CAELPOPSEEMHLANPIOSSUCWTITSBIVEMUTERATSGYAERBTX 

从 上 例 可 以 看 出 ， 无 论 怎样 换 位 置 ， 密 文字 符 与 明文 字符 的 数目 保持 相同 ， 对 密 文字 
母 的 统计 分 析 很 容易 决定 字母 的 准确 顺序 。 

此 种 加 密 方 法 保密 程度 较 高 ， 但 其 最 大 的 缺点 是 密 文 呈现 字母 自然 出 现 频率 ， 破 译 者 
只 要 稍 加 统计 即 可 识别 此 类 加 密 方法 ， 然 后 采取 先 假定 密 钥 长 度 的 方法 ， 对 密 文 进行 排列 
组 合 ， 借 助 计算 机 的 高 速 运算 能 力 及 常用 字母 的 组 合 规律 ， 也 可 以 进行 不 同 程度 的 破译 。 

以 上 是 传统 加 密 的 方法 ， 它 有 以 下 特点 : 其 一 是 加 密 密 钥 与 解密 密 钥 相同 ， 其 二 是 加 
密 算法 比较 简单 ， 主 要 侧重 于 增加 密 钥 长 度 以 提高 保密 程度 。 
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2.1.4 ”对称 密 钥 算 法 


现代 密码 学 也 使 用 替代 密码 和 换 位 密码 的 思想 ， 但 和 传统 密码 学 的 侧重 点 不 同 ， 传 统 
密码 学 的 加 密 算法 比较 简单 ， 主 要 通过 增加 密 钥 长 度 来 提高 保密 程度 ， 而 现代 密码 学 正好 
相反 ， 它 使 用 极为 复杂 的 加 密 算 法 ， 即 使 破译 者 能 够 对 任意 数量 的 选择 明文 进行 加 密 ， 也 
无 法 找 出 破译 密 文 的 方法 。 

对 称 算法 就 是 加 密 密 钥 能 够 从 解密 密 钥 中 推算 出 来 ， 反 过 来 也 成 立 。 在 大 多 数 对 称 算 
法 中 ， 加 、 解 密 密 钥 是 相同 的 。 这 些 算法 也 叫 秘密 密 钥 算 法 或 单 密 钥 算法 。 

1. 对 称 密 钥 算法 加 密 的 要 求 

(1) 需要 强大 的 加 密 算法 。 即 使 对 手 知道 了 算法 并 能 访问 一 些 或 更 多 的 密 文 ， 也 不 能 
破译 密 文 或 得 出 密 钥 。 

(2) 发 送 方 和 接收 方 必须 用 安全 的 方式 来 获得 保密 密 钥 的 副本 , 必须 保证 密 钥 的 安全 。 
如 果 有 人 发 现 了 密 钥 ， 并 知道 了 算法 ， 则 使 用 此 密 钥 的 所 有 通信 便 都 是 可 读 取 的 。 

常规 机 密 的 安全 性 取决 于 密 钥 的 保密 性 ， 而 不 是 算法 的 保密 性 。 也 就 是 说 ， 如 果 知 道 
了 密 文 和 加 密 及 解密 算法 的 知识 ， 解 密 消息 也 是 不 可 能 的 。 


2. 一 些 常用 的 对 称 密 钥 加 密 算法 


(1) 数据 加 密 标准 (DES)。 

最 常用 的 加 密 方案 是 美国 国家 标准 和 技术 局 (NIST) 在 1977 年 采用 的 数据 加 密 标准 
(Data Encryption Standard，DES)， 它 是 联邦 信息 处 理 第 46 号 标准 (FIPS PUB 46)。DES 主 
要 采用 替换 和 移 位 的 方法 加 密 ， 它 用 56 位 密 钥 对 64 位 二 进 制 数据 块 进行 加 密 ， 每 次 加 密 
可 对 64 位 数据 进行 16 轮 编 码 , 经 一 系列 替换 和 移 位 后 , 输入 的 64 位 原始 数据 转换 成 完全 
不 同 的 64 位 输出 数据 。 

DES 算法 适用 于 最 大 为 64 位 的 标准 算术 和 逻辑 运算 , 运算 速度 快 , 密 钥 产生 容易 ， 适 
合 于 在 当前 大 多 数 计算 机 上 用 软件 方法 实现 ， 同 时 也 能 在 专用 芯片 上 实现 。DES 算法 的 弱 
点 是 不 能 提供 足够 的 安全 性 ， 因 为 其 密 钥 容量 只 有 56 位 。 由 于 这 个 原因 ， 后 来 又 提出 了 3 
重 DES 系统 ， 使 用 3 个 不 同 的 密 钥 对 数据 块 进行 (两 次 或 )3 次 加 密 ， 该 方法 比 进行 普通 加 
密 的 3 次 快 。 其 强度 大 约 和 112bit 的 密 钥 强度 相当 。 算 法 本 身 以 数据 加 密 算法 (Data 
Encryption Algorithm，DEA) 被 引用 。DES 本 身 虽 已 不 再 安全 ,但 其 改进 算法 的 安全 性 还 是 
相当 可 靠 的 。 

(2) 国际 数据 加 密 算法 QDEA)。 

数据 加 密 算法 (Intemation Data Encryption Algorithm，IDEA) 是 由 瑞士 的 两 位 科学 家 于 
1990 年 联合 提出 的 ， 它 的 明文 和 密 文 都 是 64bit， 但 密 钥 长 为 128bit。IDEA 是 作为 迭代 的 
分 组 密码 实现 的 ， 使 用 128 位 的 密 钥 和 8 个 循环 。 这 比 DES 提供 了 更 多 的 安全 性 ,但 是 在 
选择 用 于 IDEA 的 密 钥 时 ， 应 该 排除 那些 称 为 “ 弱 密 钥 ” 的 密 钥 。DES 只 有 4 个 弱 密 铀 和 
12 个 次 弱 密 钥 ， 而 IDEA 中 的 弱 密 钥 数 相当 可 观 ， 有 22 个。 但 是 ， 如 果 密 钥 的 总 数 非常 
大 ， 达 到 2 个， 那么 仍 有 2” 个 密 钥 可 供 选 择 。IDEA 被 认为 是 极为 安全 的 。 使 用 128 位 
的 密 钥 , 暴力 攻击 中 需要 进行 的 测试 次 数 与 DES 相 比 会 明显 增 大 , 甚至 允许 对 弱 密 钥 测试 。 


解密 密 钥 必须 和 加 密 密 钥 相同 ， 这 是 对 称 密 钥 算法 的 一 个 弱点 ， 这 就 产生 了 如 何 安 全 
地 分 发 密 钥 的 问题 。 传 统 上 是 由 一 个 中 心 密 钥 生成 设备 产生 一 个 相同 的 密 钥 对 ， 并 由 人 工 
信使 将 其 传送 到 各 自 的 目的 地 。 对 于 一 个 拥有 许多 部 门 的 组 织 来 说 ， 这 种 分 发 方式 是 不 能 
令 人 满意 的 ， 尤 其 是 出 于 安全 方面 的 考虑 需要 经 常 更 换 密 钥 时 更 是 如 此 。 此 外 ， 两 个 完 
陌生 的 人 要 想 秘密 通信 ， 就 必须 通过 实际 会 面 来 商定 密 钥 ， 否 则 别 无 他 法 。1976 年 ,Diffie 
和 Hellman 提出 了 一 种 全 新 的 加 密 思想 一 一 公开 密 钥 算法 ， 很 好 地 解决 了 这 个 问题 。 


2.1.5 ”公开 密 钥 算法 


公开 密 钥 加 密 最 初 是 由 Diffie 和 Hellman 在 1976 年 提出 的 , 这 是 几 千 年 来 文字 加 密 的 
第 一 次 真正 革命 性 的 进步 。 公 钥 是 建立 在 数学 函数 基础 上 , 而 不 是 建立 在 位 方式 的 操作 上 。 
更 重要 的 是 ， 公 钥 加 密 是 不 对 称 的 ， 与 只 使 用 一 种 密 钥 的 对 称 常规 加 密 相 比 ， 它 涉及 公 钥 
和 私 钥 的 使 用 。 这 两 种 密 钥 的 使 用 已 经 对 机 密 性 、 密 钥 的 分 发 和 身份 验证 领域 产生 了 深远 
的 影响 。 公 钥 加 密 算法 可 用 于 数据 完整 性 、 数 据 保密 性 、 发 送 者 不 可 否认 和 发 送 者 认证 等 
方面 。 

在 公开 密 钥 算 法 提出 之 前 ， 所 有 密码 系统 的 解密 密 钥 和 加 密 密 钥 都 有 很 直接 的 联系 ， 
即 从 加 密 密 钥 可 以 很 容易 地 导出 解密 密 钥 ， 因 此 所 有 的 密码 学 家 理所当然 地 认为 应 对 加 密 
密 钥 进行 保密 。 但 是 Diffie 和 Hellman 提出 了 一 种 完全 不 同 的 设想 ， 从 根本 上 改变 了 人 们 
研究 密码 系统 的 方式 。 

在 Diffie 和 Hellman 提出 的 方法 中 ， 加 密 密 钥 和 解密 密 钥 是 不 同 的 ， 并 且 从 加 密 密 钥 
不 能 得 到 解密 密 钥 。 为 此 ， 加 密 算法 E 和 解密 算法 D 必须 满足 以 下 3 个 条 件 : 

(1) DEP)P. 

(2) 从 E 导 出 DD 非常 困难 。 

(3) 由 一 段 明 文 不 可 能 破译 出 E。 

第 个 条 件 是 指 将 解密 算法 D 作用 于 密 文 E(P) 后 就 可 获得 明文 P; 第 @ 个 条 件 是 不 可 
能 从 EE 导出 D; 第 @ 个 条 件 是 指 破译 者 即使 能 加 密 任意 一 段 明 文 ， 也 无 法 破译 密码 。 如 果 
能 够 满足 以 上 3 个 条 件 ， 则 加 密 算法 完全 可 以 公开 。 

Diffie 和 Hellman 算法 的 基本 思想 是 : 如 果菜 个 用 户 希 望 接收 秘密 报 文 , 他 必须 设计 两 
个 算法 ， 即 加 密 算法 E 和 解密 算法 D， 然 后 将 加 密 算法 放 于 任何 一 个 公开 的 文件 中 广 而 告 
之 ， 这 也 是 公开 密 钥 算法 名 称 的 由 来 ， 他 甚至 还 可 以 公开 他 的 解密 方法 ， 只 要 妥善 保存 解 
密 密 钥 即 可 。 当 两 个 完全 陌生 的 用 户 A 和 B 希望 进行 秘密 通信 时 ， 各 自 可 以 从 公开 的 文件 
中 查 到 对 方 的 加 密 算法 ， 若 A 需要 将 秘密 报 文 发 给 B， 则 A 用 B 的 加 密 算法 配对 报 文 进 
行 加 密 ， 然 后 将 密 文 发 给 B，B 使 用 解密 算法 Ds 进行 解密 ,而 除 B 以 外 的 任何 人 都 无 法 读 
懂 这 个 报 文 ， 当 B 需要 向 人 发 送 消息 时 ，B 使 用 A 的 加 密 算法 Es 对 报 文 进行 加 密 ， 然 后 
发 给 A，A 利用 DA 进行 解密 。 

在 这 种 算法 中 ， 每 个 用 户 都 使 用 两 个 密 钥 ， 其 中 加 密 密 钥 是 供 其 他 人 发 送 报 文 用 的 ， 
是 公开 的 ; 解密 密 钥 是 用 于 对 收 到 的 密 文 进行 解密 的 ， 是 保密 的 。 通 常用 公开 密 钥 和 私人 
密 钥 分 别称 呼 公开 密 钥 算法 中 的 加 密 密 钥 和 解密 密 钥 ， 以 同 传统 密码 学 中 的 秘密 密 钥 相 区 
分 。 由 于 私人 密 钥 只 由 用 户 自 己 掌握 ， 不 需要 分 发 给 别人 ， 也 就 不 用 担心 在 传输 的 过 程 中 
或 被 其 他 用 户 泄密 ， 因 而 是 极其 安全 的 。 用 公开 密 钥 算法 解决 上 面 所 说 的 密 钥 分 发 问题 非 


第 2 音 ” 数字 加 客 与 认证 攻克 @@ 


常 简单 ， 中 心 密 钥 生成 设备 产生 一 个 密 钥 后 ， 用 各 个 用 户 公 开 的 加 密 算法 对 之 进行 加 密 ， 
然后 分 发 给 各 用 户 ， 各 用 户 再 用 自己 的 私人 密 钥 进行 解密 ， 操 作 既 安全 又 省 事 。 两 个 完全 
陌生 的 用 户 之 间 也 可 以 使 用 这 种 方法 方便 地 商定 一 个 秘密 的 会 话 密 钥 。 

由 于 公开 密 钥 算法 潜在 的 优越 性 , 研究 者 们 一 直 在 努力 寻找 符合 以 上 3 个 条 件 的 算法 ， 
已 经 有 一 些 算法 被 提 了 出 来 ， 其 中 较 好 的 一 个 是 由 MIT 的 一 个 研究 小 组 提出 的 ， 并 以 3 个 
发 现 者 名 字 的 首 字母 命名 , 称 为 RSA 算法 。 RSA 算法 基于 一 些 数论 的 原理 , 在 此 不 对 它 做 
理论 上 的 推导 ， 只 说 明 如 何 使 用 这 种 算法 。 

@ ”选择 两 个 大 素数 p 和 4( 典 型 值 为 大 于 10100)。 

e@ 计算 n=pxg 和 有 =(p-1)(q-1)。 

@ 选择 一 个 与 z 互 质 的 数 ， 令 其 为 d。 

@ 找到 一 个 e 使 满足 ed=l modz。 

计算 以 上 参数 后 ， 就 可 以 对 明文 加 密 。 首 先 将 明文 看 成 是 一 个 位 串 ， 将 其 划分 成 一 个 
个 的 数据 块 P 且 0 科 P<mr。 要 做 到 这 一 点 并 不 难 ， 只 需 先 求 出 满足 2k<n 的 最 大 大 值 ， 然 后 
使 得 每 个 数据 块 长 度 不 超过 大 即 可 。 对 数据 块 P 进行 加 密 ， 计 算 C=P*(mod n),，C 即 为 P 
的 密 文 ， 对 C 进行 解密 ， 计 算 P=C?(mod n)。 可 以 证 明 ， 对 于 指定 范围 内 的 所 有 P 其 加 密 
函数 和 解密 函数 互 为 反 函 数 。 进 行 加 密 需要 参数 e 和 n， 进 行 解密 需要 参数 4 和 nn， 所 以 公 
开 密 钥 由 (e，n) 组 成 ， 私 人 密 钥 由 (4，n) 组 成 。 

RSA 算法 的 安全 性 建立 在 难以 对 大 数 提取 因子 的 基础 上 ， 如 果 破 译 者 能 对 已 知 的 提 
取出 因子 p 和 9 就 能 求 出 z， 知 道 了 z 和 e， 就 能 利用 Euclid 算法 求 出 4。 所 幸 的 是 ，300 
多 年 来 虽然 数学 家 们 已 对 大 数 因 式 分 解 的 问题 做 了 大 量 研 究 ， 但 并 没有 取得 任何 进展 ， 到 
目前 为 止 这 仍 是 一 个 极其 困难 的 问题 。 据 Rivest 等 的 推算 , 用 最 好 的 算法 和 指令 时 间 为 lns 
的 计算 机 对 一 个 200 位 的 十 进 制 数 作 因 式 分 解 需要 40 亿 年 的 机 器 时 间 , 而 对 一 个 500 位 的 
数 作 因 式 分 解 需要 1025 年 。 即 使 计算 机 的 速度 每 10 年 提高 一 个 数量 级 ， 能 作 500 位 数 的 
因 式 分 解 也 是 在 若干 世纪 之 后 ， 然 而 到 那 时 ， 人 们 只 要 选取 更 大 的 p 值 和 g 值 就 行 了 。 

为 了 演示 RSA 算法 的 使 用 , 在 此 举 一 个 简单 的 例子 。 假 设 取 p=3, g=11, 则 计算 出 n=33 
和 于 20。 由 于 7 和 20 没有 公 因 子 ， 因 此 可 取 4=7; 解 方 程 7e=1(mod 20) 可 以 得 到 e=3。 由 
此 公开 密 钥 为 (3,33), 私人 密 钥 为 (7, 33)。 假 设 要 加 密 的 明文 为 M=4, 则 C=Meamnod m)=4*(mod 
33)=31, 于 是 对 应 的 密 文 为 C=31。 接收 方 收 到 密 文 后 进行 解密 , 计算 M=Ci(mod n)=31 "(mod 
33)=4， 恢 复出 原文 。 

应 该 指出 的 是 ， 与 对 称 密码 体制 如 DES 相 比 ， 虽 然 RSA 算法 具有 安全 、 方 便 的 特点 ， 
但 它 的 运行 速度 太 慢 ， 因 此 ，RSA 体制 很 少 用 于 数据 加 密 ， 而 多 用 在 数字 签名 、 密 钥 管理 
和 认证 等 方面 ， 数 据 的 加 密 仍 使 用 秘密 密 钥 算法 。 

1985 年 ，Elgamal 构造 了 一 种 基于 离散 对 数 的 公 钥 密码 体制 ， 这 就 是 Elgamal 公 钥 体 
制 。Elgamal 公 钥 体制 的 密 文 不 仅 依赖 于 待 加 密 的 明文 ， 而 且 依 赖 于 用 户 选 择 的 随机 参数 ， 
即使 加 密 相 同 的 明文 ， 得 到 的 密 文 也 是 不 同 的 。 由 于 这 种 加 密 算法 的 非 确 实 性 ， 又 称 其 为 
概率 加 密 体 制 。 在 确定 性 加 密 算法 中 ， 如 果 破 译 者 对 某 些 关键 信息 感 兴趣 ， 则 他 可 事先 将 
这 些 信 息 加 密 后 存储 起 来 ， 一 旦 以 后 截获 密 文 ， 就 可 以 直接 在 存储 的 密 文中 进行 查找 ， 从 
而 求 得 相应 的 明文 。 概 率 加 密 体制 弥补 了 这 种 不 足 ， 进 一 步 提高 了 安全 性 。 

与 既 能 作 公 钥 加 密 又 能 作 数 字 签名 的 RSA 不 同 , Elgamal 签名 体制 是 在 1985 年 仅 为 数 
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字 签 名 而 构造 的 签名 体制 。NIST 采用 修改 后 的 Elgamal 签名 体制 作为 数字 签名 体制 标准 。 
破译 Elgamal 签名 体制 等 价 于 求解 离散 对 数 问题 。 

背包 公 钥 体制 是 1978 年 由 Merkle 和 Hellman 提出 的 。 背 包 算 法 的 思路 是 假定 某 人 拥 
有 大 量 的 物品 ， 重 量 各 不 相同 。 此 人 通过 秘密 地 选择 一 部 分 物品 并 将 它们 放 到 背包 中 来 加 
密 消息 。 背 包 中 的 物品 总 重量 是 公开 的 ， 所 有 可 能 的 物品 也 是 公开 的 ， 但 背包 中 的 物品 却 
是 保密 的 。 附 加 一 定 的 限制 条 件 ， 给 出 重量 ， 而 要 列 出 可 能 的 物品 ， 在 计算 上 是 不 可 实现 
的 。 这 就 是 公开 密 钥 算法 的 基本 思想 。 

大 多 数 公 钥 密 码 体制 都 会 涉及 高 次 景 运算 ， 不 仅 加 密 速 度 慢 ， 而 且 会 占用 大 量 的 存储 


| 空间。 背包 问题 是 熟知 的 不 可 计算 问题 ， 背 包 体制 以 其 加 密 、 解 密 速度 快 而 引 人 注 目 。 但 


是 ， 大 多 数 一 次 背包 体制 均 被 破译 了 ， 因 此 很 少 有 人 使 用 它 。 
目前 许多 商业 产品 采用 的 公 钥 算法 还 有 Diffie-Hellman 密 钥 交换 、 数 据 签名 标准 DSS 
和 椭圆 曲线 密码 技术 等 。 


2.1.6 ”加 密 技术 在 网 络 中 的 应 用 


加 密 技术 用 于 网 络 安 全 通常 有 两 种 形式 ， 即 面向 网 络 服务 或 面向 应 用 服务 。 

面向 网 络 服 务 的 加 密 技术 工作 在 网 络 层 或 传输 层 ， 使 用 经 过 加 密 的 数据 包 传 送 、 认 证 
网 络 路 由 以 及 其 他 网 络 协议 所 需 的 信息 ， 从 而 保证 网 络 的 连通 性 和 可 用 性 不 受 损害 。 在 网 
络 层 上 实现 的 加 密 技术 对 于 网 络 应 用 层 的 用 户 而 言 是 透明 的 。 此 外 ， 通 过 适当 的 密 钥 管理 
机 制 ， 使 用 这 一 方法 还 可 以 在 公用 网 络 上 建立 虚拟 专用 网 络 ， 并 保障 其 信息 安全 性 。 

面向 网 络 应 用 服务 的 加 密 技术 是 目前 较为 流行 的 加 密 技术 ， 如 使 用 Kerberos 服务 的 
Telnet、NFS、Rlogin 等 , 以 及 用 作 电子 邮件 加 密 的 PEM(Privacy Enhanced Mail) 和 PGP(Pretty 
Good Privacy)。 这 一 类 加 密 技术 实现 起 来 相对 较为 简单 ,不 需要 对 电子 信息 (数据 包 ) 所 经 过 
的 网 络 安全 性 能 提出 特殊 要 求 ， 对 电子 邮件 数据 实现 端 到 端的 安全 保障 。 

从 通信 网 络 的 传输 方面 ， 数 据 加 密 技术 还 可 分 为 以 下 3 类 ， 即 链 路 加 密 方式 、 节 点 到 
节点 方式 和 端 到 端 方式 。 

(1) 链 路 加 密 方式 是 普通 网 络 通信 安全 主要 采用 的 方式 。 它 不 但 对 数据 报 文 的 正文 进 
行 加 密 ， 而 且 把 路 由 信息 、 校 验 码 等 控制 信息 全 部 加 密 。 所 以 ， 当 数据 报 文 到 某 个 中 间 节 
点 时 ， 必 须 被 解密 以 获得 路 由 信息 和 校 验 码 ， 进 行路 由 选择 、 差 错 检测 ， 然 后 才能 被 加 密 ， 
发 送 到 下 一 个 节点 ， 直 到 数据 报 文 到 达 目 的 节点 为 止 。 

(2) 节点 到 节点 加 密 方式 是 为 了 解决 在 节点 中 数据 明文 传输 的 缺点 ， 在 中 间 节 点 里 装 
有 加 、 解 密 的 保护 装置 ， 由 这 个 装置 来 完成 一 个 密 钥 向 另 一 个 密 钥 的 交换 。 因 而 ， 除 了 在 
保护 装置 内 ， 即 使 在 节点 内 也 不 会 出 现 明文 。 但 是 这 种 方式 和 链 路 加 密 方式 一 样 需 要 公共 
网 络 提供 者 配合 ， 修 改 它 们 的 交换 节点 ， 增 加 安全 单元 或 保护 装置 。 

(3) 在 端 到 端 加 密 方式 中 ， 由 发 送 方 加 密 的 数据 在 没有 到 达 最 终 目的 节点 之 前 是 不 被 
解 破 的 ， 加 、 解 密 只 在 源 、 宿 节点 进行 ， 因此， 这 种 方式 可 以 按 各 种 通信 对 象 的 要 求 改变 
加 密 密 钥 ， 以 及 按 应 用 程序 进行 密 钥 管理 等 ， 而 且 采 用 这 种 方式 可 以 解决 文件 加 密 问题 。 

链 路 加 密 方式 和 端 到 端 加 密 方式 的 区 别 是 ， 链 路 加 密 方式 是 对 整个 链 路 的 通信 采用 保 
护 措施 ， 而 端 到 端 方式 则 是 对 整个 网 络 系统 采取 保护 措施 。 因 此 ， 端 到 端 加 密 方 式 是 未 来 
的 发 展 趋势 。 
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2.1.7 ”密码 分 析 


试图 发 现 明文 或 密 钥 的 过 程 称 为 密码 分 析 。 密 码 分 析 人 员 使 用 的 策略 取决 于 加 密 方案 
的 特性 和 分 析 人 员 可 用 的 信息 。 密 码 分 析 的 过 程 通常 包括 分 析 ( 统 计 所 截获 的 消息 材料 )、 
假设 、 推 断 和 证 实 等 步 又 。 

表 2.1 总 结 了 各 类 加 密 消息 的 破译 类 型 ， 这 些 破 译 是 以 分 析 人 员 所 知 的 信息 总 量 为 基 
础 的 。 在 一 些 情况 下 ， 分 析 人 员 可 能 根本 就 不 知道 加 密 算法 ， 但 一 般 可 以 认为 已 经 知道 了 
加 密 算法 。 这 种 情况 下 ， 最 可 能 的 破译 就 是 用 暴力 攻击 (或 称 为 穷 举 攻击 ) 来 尝试 各 种 可 能 
的 密 钥 。 如 果 密 钥 空间 很 大 ， 这 种 方法 就 行 不 通 了 。 因 此 ， 必 须 依 赖 于 对 密 文 本 身 的 分 析 ， 
通常 会 对 它 使 用 各 种 统计 测试 。 


表 2.1 加 密 消息 的 破译 类 型 


破译 类 型 密码 分 析 人 员 已 得 到 的 内 容 

仅 密 文 加 密 算法 、 要 解密 的 密 文 

已 知 明文 加 密 算法 、 要 解密 的 密 文 、 使 用 保密 密 钥 生成 的 一 个 或 多 个 明文 - 密 文 对 

加 密 算法 、 要 解密 的 密 文 、 密 码 分 析 人 员 选 择 的 明文 消息 ， 以 及 使 用 保密 密 钥 生成 的 对 


选择 曙 
二 应 的 密 文 对 
加 密 算法 、 要 解密 的 密 文 、 密 码 分 析 人 员 选 择 的 密 文 ， 以 及 使 用 保密 密 钥 生 成 的 对 应 的 
选择 密 文 
解密 明文 
选择 文本 加 密 算法 、 要 解密 的 密 文 、 密 码 分 析 人 员 选 择 的 明文 消息 ， 以 及 使 用 保密 密 钥 生成 的 对 


应 的 密 文 对 、 密 码 分 析 人 员 选 择 的 密 文 ， 以 及 使 用 保密 密 钥 生成 的 对 应 的 解密 明文 


只 针对 密 文 的 破译 是 比较 困难 的 ， 因 为 可 用 信息 量 很 少 。 但 是 ， 在 很 多 情况 下 ， 分 析 
者 能 够 捕获 一 些 或 更 多 的 明文 信息 及 其 密 文 ， 或 者 分 析 者 已 经 知道 信息 中 明文 信息 出 现 的 
格式 。 例 如 ，PostScript 格式 中 的 文件 总 是 以 同样 的 方式 开始 ， 或 者 电子 资金 的 转账 存在 着 
标准 化 的 报头 或 标题 等 。 这 些 都 是 已 知 明文 的 示例 ， 有 了 这 些 知识 ， 分 析 者 就 能 够 在 已 知 
明文 传送 方式 的 基础 上 推导 出 密 钥 。 

与 已 知 明文 的 攻击 方式 密切 相关 的 是 词语 攻击 方式 。 如 果 分 析 者 面 对 的 是 一 般 平 铺 直 
叙 的 加 密 消 息 ， 则 他 几乎 就 不 能 知道 消息 的 内 容 是 什么 。 但是， 如 果 分 析 者 拥有 一 些 非常 
特殊 的 信息 ， 就 有 可 能 知道 消息 中 其 他 部 分 的 内 容 。 


2.2 密 钥 管理 


密 钥 管 理 是 数据 加 密 技术 中 的 重要 一 环 ， 密 钥 管理 的 根本 意图 在 于 提高 系统 的 安全 保 
密 程度 。 一 个 良好 的 密 钥 管理 系统 ， 除 在 生成 与 分 发 过 程 中 尽量 减少 人 力 直接 干预 外 ， 还 
应 做 到 以 下 几 点 : 

(1) 密 钥 难以 被 非法 窃取 。 

(2) 在 一 定 条 件 下 ， 即 使 被 窃取 了 也 无 用 。 

(3) 密 钥 分 发 和 更 换 的 过 程 ， 对 用 户 是 透明 的 ， 用 户 不 一 定 亲 自 掌握 密 钥 。 


密 钥 是 加 密 运 算 和 解密 运算 的 关键 ， 也 是 密码 系统 的 关键 。 密 码 系统 的 安全 取决 于 密 
钥 的 安全 ， 而 不 是 密 钥 算法 或 保密 装置 本 身 的 安全 。 即 使 公开 了 密码 体制 ， 或 者 丢失 了 密 
码 设 备 ， 同 一 型 号 的 加 密 设备 也 仍然 可 以 继续 使 用 ， 但 若 密 钥 一 旦 丢失 或 出 错 ， 就 会 被 非 
法 用 户 窃取 信息 。 将 密 钥 泄露 给 他 人 意味 着 加 密 文 档 还 不 如 使 用 明文 ， 因 此 密 钥 管理 在 计 
算 机 的 安全 保密 系统 的 设计 中 极为 重要 。 密 钥 管理 综合 了 密 钥 的 产生 、 分 发 、 存 储 、 组 织 、 
使 用 、 销 毁 等 一 系列 技术 问题 ， 同 时 也 对 行政 管理 和 人 员 素 质 提出 了 要 求 。 


2.2.1 密 钥 的 分 类 和 作用 


在 同一 密码 系统 中 ， 为 保证 信息 和 系统 安全 ， 常 常 需要 多 种 密 钥 ， 每 种 密 钥 担负 相应 
的 任务 。 下 面 介绍 几 种 常用 的 密 钥 。 

(1) 初级 密 钥 。 把 保护 数据 (加 密 和 解密 ) 的 密 钥 叫 作 初级 密 钥 (K)， 初 级 密 钥 又 叫 数 据 
加 密 (数据 解密 ) 密 钥 。 当 初级 密 钥 直接 用 于 提供 通信 安全 时 ， 叫 作 初 级 通信 密 钥 KC)。 在 
通信 会 话 期 间 用 于 保护 数据 的 初级 通信 密 钥 叫 作 会 话 密 钥 ， 但 初级 密 钥 用 于 直接 提供 文件 
安全 时 ， 叫 作 初级 文件 密 钥 KF)。 

(2) 钥 加 密 钥 。 对 密 钥 进行 保护 的 密 钥 称 为 钥 加 密 钥 ， 把 保护 初级 密 钥 的 密 钥 叫 作 二 
级 密 钥 (KN)， 同 样 可 以 分 为 二 级 通信 密 钥 (KNC) 和 二 级 文件 密 钥 (KNF)。 

(3) 主机 密 钥 。 一 个 大 型 的 网 络 系统 可 能 有 上 千 个 节点 或 端 用 户 , 若 要 实现 全 网 互通 ， 
每 个 节点 就 要 保存 用 于 与 其 他 节点 或 端 用 户 进行 通信 的 二 级 密 钥 和 初级 密 钥 ， 这 些 密 钥 要 
形成 一 张 表 保存 在 节点 (或 端 节点 的 保密 装置 ) 内 ， 若 以 明文 的 形式 保存 ， 有 可 能 会 被 窃取 。 
为 保证 它 的 安全 ， 通 常 还 需要 有 一 个 密 钥 对 密 钥 表 进 行 加 密 保护 ， 此 密 钥 称 为 主机 密 钥 或 
主 控 密 钥 。 

(4) 其 他 密 钥 。 在 一 个 系统 中 ， 除 了 上 述 密 钥 外 ， 还 可 能 有 通 播 密 钥 、 共 享 密 钥 等 ， 
它们 也 有 各 自 的 用 途 。 


2.2.2” 密 钥 长 度 

密 钥 长 度 一 般 是 以 二 进 制 位 (bib 为 单位 ， 也 有 以 字 节 (Byte) 为 单位 的 ， 密 钥 的 长 度 对 密 
钥 的 强度 有 直接 的 影响 。 密 钥 的 长 度 涉及 两 个 问题 : 多 长 的 密 钥 才 适合 保密 通信 的 要 求 ， 
密 钥 系统 对 于 对 称 / 非 对 称 密 钥 长 度 的 匹配 问题 。 

1. 密 钥 长 度 的 要 求 

密 钥 长 度 的 要 求 与 信息 安全 需要 的 环境 有 关 ， 表 2.2 列 出 了 不 同 信息 安全 需要 对 于 对 
称 / 非 对 称 密 钥 尺度 的 要 求 。 


表 2.2 不 同 信息 安全 需要 对 密 钥 尺度 的 要 求 


信息 类 型 
战场 军事 信息 
产品 发 布 、 合 并 、 利 率 


时 间 
数 分 钟 /小 时 
几 天 /小 时 


对 称 密 钥 的 长 度 (bit) 
56~64 
64 


公开 密 钥 的 长 度 (bit) 
384 
512 
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续 表 
信息 类 型 时 间 对 称 密 钥 的 长 度 (bit) 公开 密 钥 的 长 度 (bit) 
长 期 商业 计划 几 年 2 1792 
贸易 秘密 几 十 年 128 2304 
氧 弹 秘密 >40 年 128 2304 
间谍 身份 >50 年 128 2304 
个 人 隐私 >50 年 128 2304 
外 交 秘 密 >65 年 至 少 128 至 少 2304 


表 2.2 表明 了 安全 环境 对 密 钥 长 度 的 制约 。 由 于 计算 机 技术 和 密码 学 的 发 展 ， 密 钥 长 
度 已 经 有 了 很 大 的 变化 ， 比 如 对 称 密 钥 的 长 度 已 经 修改 为 128 一 192bit。 

2. 对 称 / 非 对 称 密 钥 长 度 的 匹配 

无 论 是 使 用 对 称 密 钥 算法 还 是 公开 密 钥 算法 ， 其 设计 的 系统 都 应 该 对 密 钥 长 度 有 具体 
的 要 求 ， 以 防止 穷 举 等 攻击 的 破译 。 穷 举 攻击 是 指 用 所 有 可 能 的 密 钥 空间 中 的 密 钥 值 破 译 
加 密 信息 。 因 此 ， 表 2.2 表明 ， 如 果 同 时 使 用 64bit 的 对 称 密 钥 算 法 和 384bit 的 公开 密 钥 算 
法 是 没有 什么 安全 可 言 的 ， 如 果 希 望 使 用 的 对 称 算法 的 密 钥 长 度 是 128bit， 那 么 使 用 的 公 
开 算 法 的 密 钥 长 度 至 少 应 为 2304 位 。 

如 果 使 用 更 长 一 些 的 密 钥 ， 就 必须 为 密 钥 变 长 所 需 计算 时 间 付出 代价 。 通 常 ， 使 密 钥 
足够 长 ， 而 计算 所 需 的 时 间 足 够 短 。 表 2.3 给 出 了 公开 密 钥 多 长 才 安 全 的 一 些 忠告 。 其 中 ， 
每 年 度 列 出 了 3 个 密 角 长度， 分 别针 对 个 人 、 大 公司 和 政府 。 


表 2.3 ”公开 密 钥 长 度 的 推荐 值 (bit) 


年 度 对 于 政府 
1995 1536 
2000 1536 
2005 2048 


2015 2048 2048 

诚然 ， 对 称 密 钥 和 公开 密 钥 就 密 钥 长 度 的 比较 而 言 ， 使 用 对 称 密 钥 的 算法 在 实现 上 比 
公开 密 钥 的 算法 要 快 很 多 ， 而 且 密 钥 长 度 也 要 短 。 但 是 ， 公 钥 技术 具有 更 大 的 实际 使 用 效 
果 。 一 般 而 言 ， 应 该 选择 比 对 称 密 钥 算法 更 安全 的 公开 密 钥 长 度 ， 因 为 公开 密 钥 算法 通常 
持续 时 间 长 ， 而 且 可 保护 更 多 的 信息 。 
2.2.3” 密 钥 的 产生 技术 

1. 密 钥 的 随机 性 要 求 


密 钥 是 数据 保密 的 关键 ， 应 有 足够 的 方法 来 产生 密 钥 。 作 为 密 钥 的 一 个 基本 要 求 是 要 
具有 良好 的 随机 性 。 


在 普通 的 非 密码 应 用 场合 ， 人 们 只 要 求 所 产生 出 来 的 随机 数 呈 现 平衡 的 、 等 概率 的 分 
布 ， 而 不 要 求 它 的 不 可 预测 性 。 而 在 密码 技术 中 ， 特 别 是 在 密 钥 产生 技术 中 ， 不 可 预测 性 
成 为 随机 性 的 一 个 最 基本 要 求 ， 因 为 那些 虽然 能 经 受 随机 统计 检验 但 很 容易 预测 的 序列 肯 
定 是 容易 被 攻破 的 。 

2. 产生 密 钥 的 方法 


现代 通信 技术 中 需要 产生 大 量 的 密 钥 ， 以 分 配给 系统 中 的 各 个 节点 和 实体 ， 如 果 产 生 
密 钥 的 方式 很 难 适 应 大 量 密 钥 需求 的 现状 ， 因 此 实现 密 钥 产生 的 自动 化 ， 不 仅 可 以 减轻 人 


| 工 产生 密 钥 的 工作 负担 ， 还 可 以 消除 人 为 因素 引起 的 泄密 。 


1) ” 密 钥 产生 的 硬件 技术 

噪声 源 技术 是 密 钥 产生 的 常用 方法 ， 因 为 噪声 源 的 功能 就 是 产生 二 进 制 的 随机 序列 或 
与 之 对 应 的 随机 数 ， 它 是 密 钥 产生 设备 的 核心 部 件 。 噪 声 源 的 另 一 个 功能 是 在 物理 层 加 密 
的 环境 下 进行 信息 填充 ， 使 网 络 能 够 防止 流量 分 析 。 噪 声 源 技术 还 被 用 于 某 些 身份 验证 技 
术 中 。 例 如 ， 在 对 等 实体 中 ， 为 防止 口令 被 窃取 常常 使 用 随机 应 答 技术 ， 这 时 的 提问 与 应 
答 都 是 由 噪声 控制 的 。 

如 果 噪 声 源 的 随机 性 不 强 ， 就 会 给 破译 带 来 线索 ， 某 些 破 译 方法 还 特别 依赖 于 加 密 者 
使 用 简单 的 或 容易 猜 破 的 密 钥 。 

噪声 源 输出 的 随机 数 序列 按照 产生 的 方法 可 以 分 为 以 下 几 种 : 

(1) 伪 随 机 序列 。 伪 随机 序列 也 称 作 伪 码 ， 具 有 近似 随机 序列 (噪声 ) 的 性 质 ， 而 又 能 
按照 一 定 规律 (周期 ) 产 生 和 复制 的 序列 。 因 为 真正 的 随机 序列 是 只 能 产生 而 不 能 复制 的 ， 
所 以 称 其 “ 伪 ” 随 机 序列 。 通 常用 数学 方法 和 少量 的 种 子 密 钥 来 产生 。 伪 随机 序列 一 般 都 
有 良好 的 、 能 经 受理 论 检 验 的 随机 统计 特性 。 常 用 的 伪 随 机 序列 有 m 序列 、M 序列 和 R-S 
序列 。 

(2) 物理 随机 序列 。 它 指 用 热 噪声 等 方法 产生 的 随机 序列 。 实 际 的 物理 噪声 往往 要 受 
到 温度 、 电 源 、 电 路 特性 等 因素 的 制约 ， 其 统计 特性 常常 带 有 一 定 的 偏向 性 。 

(3) 准 随机 序列 。 用 数学 方法 和 物理 方法 相 结 合 产生 的 随机 序列 ， 它 可 以 克服 两 者 的 
缺点 。 

2) ” 密 钥 产生 的 软件 技术 

X9.17(X9.17-1985 金融 机 构 密 钥 管理 标准 ， 由 ANSI 一 美国 国家 标准 定义 ) 标 准 定义 了 
一 种 产生 密 钥 的 方法 ， 如 图 2.3 所 示 。 


1 
如 加 密 


® 
> 加 密 -> 


区 加 密 > 


2.3 ANSI X9.17 密 钥 产生 的 过 程 


X9.17 标准 产生 密 钥 的 算法 是 3 重 DES， 算 法 的 目的 并 不 是 产生 容易 记忆 的 密 钥 ， 而 
是 在 系统 中 产生 一 个 会 话 密 钥 或 是 伪 随 机 数 。 其 过 程 如 下 : 
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假设 E(x) 表 示 用 密 钥 对 比特 串 x 进行 的 三 重 DES 加 密 ，KK 是 为 密 钥 发 生 器 保留 的 
一 个 特殊 密 钥 。 克 是 一 个 秘密 的 64 位 种 子 , 了 是 一 个 时 间 标 记 。 欲 产生 的 随机 密 钥 R; 可 以 
通过 下 面 的 两 个 算式 来 计算 : 

RF EAEA(T)OV) 
V= EKEA(T) BR 

对 于 128bit 或 192bit 密 钥 ， 可 以 通过 以 上 方法 生成 几 个 64bit 的 密 钥 后 ， 串 接 起 来 
便 可 。 

3) ”针对 不 同 密 钥 类 型 的 产生 方法 

(1) 主机 主 密 钥 的 产生 。 这 类 密 钥 通常 要 用 诸如 撕 硬币 、 骨 子 、 从 随机 数 表 中 选 数 等 
随机 方式 产生 ， 以 保证 密 钥 的 随机 性 ， 避 免 可 预测 性 。 而 任何 机 器 和 算法 所 产生 的 密 钥 都 
有 被 预测 的 危险 ， 主 机 主 密 钥 是 控制 产生 其 他 加 密 密 钥 的 密 钥 ， 而 且 长 时 间 保 持 不 变 ， 因 
此 它 的 安全 性 是 至 关 重 要 的 。 

(2) 加 密 密 钥 的 产生 。 加 密 密 钥 可 以 由 机 器 自动 产生 ， 也 可 以 由 密 钥 操 作 员 选 定 。 加 
密 密 钥 构成 的 密 钥 表 存 储 在 主机 中 的 辅助 存储 器 中 , 只 有 密 钥 产生 器 才能 对 此 表 进 行 增加 、 
修改 、 删 除 和 更 换 密 钥 ， 其 副本 则 以 秘密 方式 送 给 相应 的 终端 或 主机 。 一 个 有 n 个 终端 用 
户 的 通信 网 ， 若 要 求 任 一 对 用 户 之 间 彼 此 能 进行 保密 通信 ， 则 需要 n(n-1)/2 个 密 钥 加 密 密 
钥 。 当 n 较 大 时 ， 难 免 有 一 个 或 数 个 被 敌手 掌握 。 因 此 密 钥 产生 算法 应 当 能 够 保证 其 他 用 
户 的 密 钥 加 密 密 钥 仍 有 足够 的 安全 性 。 可 用 随机 比特 产生 器 (如 噪声 二 极 管 振荡 器 等 或 伪 
随机 数 产 生 器 生成 这 类 密 钥 ， 也 可 用 主 密 钥 控制 下 的 某 种 算法 来 产生 。 

(3) 会 话 密 钥 的 产生 。 会 话 密 钥 可 在 密 钥 加 密 密 钥 作用 下 通过 某 种 加 密 算法 动态 地 产 
生 ， 如 用 初始 密 钥 控制 一 非 线性 移 位 寄存 器 或 用 密 钥 加 密 密 钥 控 制 DES 算法 产生 。 初 始 密 
钥 可 用 产生 密 钥 加 密 密 钥 或 主机 主 密 钥 的 方法 生成 。 


2.2.4 密 钥 的 组 织 结构 


一 个 密 钥 系 统 可 能 有 若干 种 不 同 的 组 成 部 分 ， 按 照 它们 之 间 的 控制 关系 ， 可 以 将 各 个 
部 分 划分 为 一 级 密 钥 、 二 级 密 铀 、…… \ 级 密 钥 , 组 成 一 个 n 级 密 钥 系统 ， 如 图 2.4 所 示 。 


密 钥 协议 1 
密 钥 协议 2 


密 钥 协 议 n-1 


图 2.4 多 层 密 钥 系统 机 构 示意 图 


其 中 ， 一 级 密 钥 用 算法 保护 二 级 密 钥 ， 二 级 密 钥 用 算法 有 保护 三 级 密 钥 ， 以 此 类 推 ， 
直到 最 后 的 ”级 密 钥 用 算法 万 保护 明文 数据 。 随 着 加 密 过 程 的 进行 ， 各 层 密 钥 的 内 容 发 生 
动态 变化 ， 而 这 种 变化 的 规则 由 相应 层次 的 密 钥 协议 控制 。 其 中 每 一 层 密 钥 又 可 以 划分 为 
若干 种 不 同 功能 的 成 分 有 的 成 分 必须 以 密 文 的 方式 存在 ， 有 的 则 允许 以 明文 的 方式 存在 。 


以 上 结构 的 基本 思想 就 是 使 用 密 钥 来 保护 密 钥 。 层 密 钥 KK: 保护 , ii 层 密 钥 及: 保护 ， 
同时 它 本 身 还 受到 矿 , 层 密 钥 Ki 的 保护 。 

最 低层 的 密 钥 ,也 叫 作 工作 密 钥 ,用 于 直接 加 、 解 密 数 据 ， 而 所 有 上 层 的 密 钥 均 叫 作 
密 钥 加 密 密 钥 。 为 保证 密 钥 的 安全 ， 一 般 情况 下 工作 密 钥 平时 并 不 放 在 加 密 装置 里 保存 ， 
而 是 在 需要 进行 加 、 解 密 时 由 上 层 的 密 钥 临时 产生 ， 使 用 完毕 就 立即 清除 。 

最 高 层 的 密 钥 Ki 也 叫 作 主 密 钥 。 一 般 来 说 ， 主 密 钥 是 整个 密 钥 管理 系统 中 最 核心 、 最 
重要 的 部 分 ， 应 采用 最 保险 的 手段 严格 保护 。 

多 层 密 钥 体制 的 优点 如 下 。 

e ”安全 性 大 大 提高 。 主 要 体现 在 下 层 的 密 钥 被 破译 不 会 影响 到 上 层 密 钥 的 安全 。 

e ”为 密 钥 管 理 自动 化 带 来 了 方便 。 


2.2.5” 密 钥 分 发 


密 钥 管理 需 解决 的 另 一 个 基本 问题 是 密 钥 的 定期 更 换 问题 。 任 何 密 钥 都 应 有 规定 的 使 
用 期 限 ， 制 定 使 用 期 限 的 依据 不 是 取决 于 在 这 段 时 间 内 密码 能 否 被 破译 ， 而 是 从 概率 的 意 
义 上 看 密 钥 机 密 是 否 有 可 能 被 泄露 出 去 。 从 密码 技术 的 现状 来 看 ， 现 在 完全 可 以 做 到 使 加 
密 设备 里 的 密 钥 几 年 内 不 更 换 ， 甚 至 在 整个 加 密 设 备 的 有 效 期 内 保持 不 变 。 但 是 ， 加 密 设 
备 里 的 密 钥 在 使 用 多 长 时 间 后 就 有 可 能 被 窃取 或 被 泄露 , 这 个 问题 超出 了 数学 的 能 力 之 外 。 
比如 一 个 花 了 100 万 美元 也 难以 破译 的 密码 系统 也 可 能 只 需 1 万 美元 就 能 买通 密 钥 管理 
人 员 。 

显然 ， 密 钥 应 当 尽 可 能 地 经 常 更 换 ， 更 换 密 钥 时 应 尽量 减少 人 工 干预 ， 必 要 时 一 些 核 
心 密 钥 对 操作 人 员 也 要 保密 ， 这 就 涉及 密 钥 分 发 技术 问题 。 

密 钥 分 发 技术 中 最 成 熟 的 方案 是 采用 密 钥 分 发 中 心 Key Distribution Center，KDC)， 这 
是 当今 密 钥 管理 的 一 个 主流 。 其 基本 思想 如 下 : 

(1) 每 个 节点 或 用 户 只 需 保管 与 KDC 之 间 使 用 的 密 钥 加 密 密 钥 ,这样 的 密 钥 配置 实现 
了 以 密 钥 分 发 中 心 一 一 KDC 为 中 心 的 星 型 通信 网 。 

(2) 当 两 个 用 户 需要 相互 通信 时 ， 只 需 向 密 钥 分 发 中 心 申 请 ， 密 钥 分 发 中 心 就 把 加 密 
过 的 工作 密 钥 分 别 发 送 给 主 叫 用 户 和 被 叫 用 户 ， 这 样 对 于 每 个 用 户 来 说 就 不 需要 保存 大 量 
的 密 铀 了 ， 而 且 真正 用 于 加 密 明文 的 工作 密 钥 是 一 报 一 换 的 ， 可 以 做 到 随 用 随 申 请 随 清 除 。 

(3) 为 保证 密 钥 分 发 中 心 正常 ， 还 应 考虑 非法 的 第 三 者 不 能 插入 伪造 的 服务 而 取代 密 
钥 分 发 中 心 ， 这 种 验证 身份 的 工作 也 是 密 钥 分 发 中 心 的 工作 。 

1. 对 称 密 钥 的 分 发 


对 称 密码 体制 的 主要 特点 是 加 /解密 双方 在 加 /解密 过 程 中 要 使 用 完全 相同 的 一 个 
密 钥 。 

对 称 密 钥 密 码 体制 存在 的 最 主要 问题 是 ， 由 于 加 /解密 双方 都 要 使 用 相同 的 密 钥 ， 因 此 
在 发 送 、 接 收 数据 之 前 ， 必 须 完成 密 钥 的 分 发 。 所 以 ， 密 钥 的 分 发 便 成 了 该 加 密 体系 中 的 
最 薄弱 、 也 是 风险 最 大 的 环节 。 

由 于 公 钥 加 密 的 安全 性 高 ， 所 以 对 称 密 钥 密码 体制 多 采用 公 钥 加 密 的 方法 。 发 送 方 用 
接收 方 的 公 钥 将 要 传递 的 密 钥 加 密 ， 接 收 方 用 自己 的 私 钥 解密 传递 过 来 的 密 钥 ， 而 其 他 人 
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由 于 没有 接收 方 的 私 铀 ， 所 以 不 可 能 得 到 传递 的 密 铀 ， 这 样 ， 对 称 密 钥 密码 体制 的 密 钥 在 
传递 过 程 中 被 破解 的 可 能 性 大 大 降低 。 

用 一 个 实例 来 说 明 对 称 密 钥 密码 体制 的 密 钥 分 发 存在 的 问题 。 例 如 ， 设 有 7 方 参与 通 
信 ， 若 n 方 都 采用 同一 个 对 称 密 钥 ， 这 样 密 钥 管 理 和 传递 容易 ， 可 是 一 旦 密 钥 被 破解 ， 整 
个 体系 就 会 月 溃 。 若 采用 不 同 的 对 称 密 钥 则 需 n(n-1) 个 密 钥 ， 密 钥 数 与 参与 通信 人 数 的 平 
方 数 成 正比 ， 假 设 在 某 机 构 中 有 100 个 人 ， 如 果 任 何 两 个 人 之 间 需 要 不 同 的 密 钥 ， 则 总 共 
需要 4950 个 密 钥 ， 而 且 每 个 人 应 记 住 99 个 密 钥 。 如 果 机 构 的 人 数 是 1000、10000 人 或 更 
多 ， 管 理 密 钥 将 是 一 件 可 怕 的 事情 。 

为 能 在 因特网 上 提供 一 个 实用 的 解决 方案 ，Kerberos 建立 了 一 个 安全 的 、 可 信任 的 密 
钥 分 发 中 心 , 每 个 用 户 只 要 知道 一 个 和 KDC 进行 会 话 的 密 钥 就 可 以 了 , 而 不 需要 知道 成 百 
上 千 个 不 同 的 密 钥 。 

假设 用 户 甲 想 要 和 用 户 乙 进行 秘密 通信 ， 则 甲 先 和 KDC 通信， 用 只 有 用 户 甲 和 KDC 
知道 的 密 钥 进行 加 密 ， 用 户 甲 告 诉 KDC 他 想 和 用 户 乙 进行 通信 ，KDC 会 为 用 户 甲 和 用 户 
乙 之 间 的 会 话 随机 选择 一 个 对 话 密 钥 , 并 生成 一 个 标签 , 这 个 标签 用 KDC 和 用 户 乙 之 间 的 
密 钥 进行 加 密 ， 并 在 用 户 甲 启动 和 用 户 乙 对 话 时 ， 把 这 个 标签 交 给 用 户 乙 。 这 个 标签 的 作 
用 是 让 用 户 甲 确信 和 他 交谈 的 是 用 户 乙 ， 而 不 是 冒充 者 。 因 为 这 个 标签 是 由 只 有 用 户 乙 和 
KDC 知道 的 密 钥 进行 加 密 的 ， 所 以 即使 冒充 者 得 到 用 户 甲 发 出 的 标签 也 不 可 能 进行 解密 ， 
只 有 用 户 乙 收 到 后 才能 够 进行 解密 ， 从 而 确定 了 与 用 户 甲 对 话 的 人 就 是 用 户 乙 。 

当 KDC 生成 标签 和 随机 会 话 密码 后 ， 就 会 把 它们 用 只 有 用 户 甲 和 KDC 知道 的 密 钥 进 
行 加 密 ， 然 后 把 标签 和 会 话 密 钥 传 给 用 户 甲 ， 加 密 的 结果 可 以 确保 只 有 用 户 甲 能 得 到 这 个 
信息 ， 只 有 用 户 甲 能 利用 这 个 会 话 密 钥 和 用 户 乙 进行 通话 。 同 理 ，KDC 会 把 会 话 密码 用 只 
有 KDC 和 用 户 乙 知道 的 密 钥 加 密 ， 并 把 会 话 密 钥 给 用 户 乙 ， 如 图 2.5 所 示 。 
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图 2.5 对称 密 钥 的 分 发 


用 户 甲 会 启动 一 个 和 用 户 乙 的 会 话 ， 并 用 得 到 的 会 话 密 钥 加 密 自己 和 用 户 乙 的 会 话 ， 
还 要 把 KDC 传 给 它 的 标签 传 给 用 户 乙 以 确定 用 户 乙 的 身份 ,然后 用 户 甲 和 用 户 乙 之 间 就 可 
以 用 会 话 密 钥 进行 安全 会 话 了 。 为 了 保证 安全 ， 这 个 会 话 密 钥 是 一 次 性 的 ， 这 样 黑客 就 更 
难 进行 破解 了 。 同 时 由 于 密 钥 是 一 次 性 由 系统 自动 产生 的 ， 则 用 户 不 必 记 那么 多 密 钥 ， 方 
便 了 人 们 的 通信 。 

2. 公 钥 的 分 发 

非 对 称 密 钥 密码 体制 , 即 公开 密 钥 密码 体制 能 够 验证 信息 发 送 人 与 接收 人 的 真实 身份 ， 
对 所 发 出 /接收 信息 在 事后 具有 不 可 抵赖 性 ， 能 够 保障 数据 的 完整 性 。 这 里 有 一 个 前 提 就 是 
要 保证 公 钥 和 公 钥 持 有 人 之 间 的 对 应 关系 。 因 为 任何 人 都 可 以 通过 多 种 不 同 的 方式 公布 自 
己 的 公 钥 ， 如 个 人 主页 、 电 子 邮件 和 其 他 一 些 公用 服务 器 等 ， 由 于 其 他 人 无 法 确认 它 所 公 
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布 的 公 钥 是 否 就 是 他 自己 的 ， 所 以 也 就 无 法 认可 他 的 数字 签名 。 

如 果 得 到 了 一 个 虚假 的 公 钥 ， 比 如 说 想 传 给 A 一 个 文件 ， 于 是 开始 查找 A 的 公 钥 ， 但 
是 这 时 B 从 中 捣乱 ， 他 把 自己 的 公 钥 替换 了 A 的 公 钥 ， 让 A 错误 地 认为 B 的 公 钥 就 是 A 
的 公 和 钥 ， 导 致 最 终 使 用 B 的 公 钥 加 密 文 件 ， 结 果 A 无 法 打开 文件 , 而 B 可 以 打开 文件 ， 这 
样 B 实现 了 对 保密 信息 的 窃取 行为 。 因 此 就 算是 采用 非 对 称 密码 技术 ， 仍 旧 无 法 完全 保证 
保密 性 ， 那 么 如 何 才能 准确 地 得 到 别人 的 公 钥 呢 ? 这 时 就 需要 一 个 仲裁 机 构 ， 或 者 说 是 一 
个 权威 机 构 ， 它 能 准确 无 误 地 提供 他 人 的 公 钥 ， 这 就 是 CA(Certification Authority， 认 证 机 
构 或 认证 中 心 )。 

这 实际 上 也 是 应 用 公 钥 技术 的 关键 ， 即 如 何 确认 某 个 人 真正 拥有 公 钥 (及 对 应 的 私 钥 )。 


为 确保 用 户 的 身份 及 其 所 持 有 密 钥 的 正确 匹配 ， 公 开 密 钥 系 统 需 要 一 个 值得 信赖 而 且 独 立 


的 第 三 方 机 构 充当 认证 中 心 ， 来 确认 公 钥 拥有 人 的 真正 身份 。 认 证 中 心 发 放 一 个 叫 作 “ 公 
钥 证 书 ” 的 身份 证 明 ， 公 钥 证 书 通 常 简称 为 证 书 ， 是 一 种 数字 签名 的 声明 ， 它 将 公 钥 的 值 
绑 定 到 持 有 对 应 私 钥 的 个 人 、 设 备 或 服务 的 标识 上 。 像 公安 局 对 身份 证 盖 章 一 样 ， 认 证 中 
心 利 用 其 本 身 的 私 钥 为 数字 证 书 加 上 数字 签名 ， 任 何 想 发 放 自己 公 钥 的 用 户 ， 都 可 以 去 认 
证 中 心 申请 自己 的 证 书 。 认 证 中 心 在 核实 真实 身份 后 ， 颁 发 包含 用 户 公 钥 的 数字 证 书 。 其 
他 用 户 只 要 能 验证 证 书 是 真实 的 ,并且 信 任 颁发 证 书 的 认证 中 心 , 就 可 以 确认 用 户 的 公 钥 。 
有 了 大 家 信任 的 认证 中 心 ， 用 户 才能 放心 、 方 便 地 使 用 公 钥 技术 带 来 的 安全 服务 。 


2.2.6 ” 密 钥 的 保护 


密 钥 保 护 技术 涉及 密 钥 的 装 入 、 存 储 、 使 用 、 更 换 、 销 毁 等 多 个 方面 ， 以 下 简要 讨论 
密 钥 保护 中 的 几 个 基本 问题 。 


1. 密 钥 的 装 入 


加 密 设备 里 的 最 高 层 密 钥 ( 主 密 钥 或 一 级 密 钥 ) 通 常 都 需要 以 人 工 的 方式 装 入 。 把 密 钥 
装 入 到 加 密 设备 经 常 采 用 的 方式 有 键盘 输入 、 软 盘 输入 、 专 用 的 密 钥 装 入 设备 ( 即 密 钥 枪 ) 
输入 等 。 密 钥 除 了 正在 进行 加 密 操作 的 情况 以 外 ， 应 当 一 律 以 加 密 保护 的 形式 存放 。 密 钥 
的 装 入 过 程 应 有 一 个 封闭 的 工作 环境 ， 所 有 接近 密 钥 装 入 工作 的 人 员 应 当 是 绝对 安全 的 ， 
不 存在 可 被 窃听 装置 接收 的 电磁 波 或 其 他 辐射 。 

采用 密 钥 枪 或 密 钥 软盘 应 与 键盘 输入 的 口令 相 结合 ， 只 有 在 输入 了 合法 的 加 密 操作 口 
令 后 才能 激活 密 钥 枪 或 软盘 里 的 密 钥 信息 ， 应 建立 一 定 的 接口 规范 。 

在 密 钥 装 入 过 程 完成 后 ， 不 允许 存在 任何 可 能 导出 密 钥 的 残留 信息 ， 比 如 应 将 内 存 中 
使 用 过 的 存储 区 清 零 。 

当 使 用 密 钥 装 入 设备 用 于 远 距离 传递 密 钥 时 ， 装 入 设备 本 身 应 设计 成 封闭 式 的 物理 、 
逻辑 单元 。 

在 可 能 的 条 件 下 ， 重 要 的 密 钥 可 采取 由 多 人 、 多 批 次 分 开 完成 装 入 ， 这 种 方式 的 代价 
较 高 ， 但 提供 了 多 密 钥 的 加 密 环境 。 

密 钥 装 入 的 内 容 应 不 能 被 显示 出 来 。 为 了 掌握 密 钥 装 入 的 过 程 ， 所 有 的 密 钥 应 按照 编 
号 进行 管理 ， 而 这 些 编号 是 公开 的 、 可 显示 的 。 
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2. 密 钥 的 存储 


在 密 钥 装 入 以 后 ， 所 有 存储 在 加 密 设备 里 的 密 钥 都 应 以 加 密 的 形式 存放 ， 而 对 这 些 密 
钥 解密 的 操作 口令 应 该 由 密码 操作 人 员 掌 握 。 这 样 即 使 装 有 密 钥 的 加 密 设 备 被 破译 者 拿 到 
也 可 以 保证 密 钥 系统 的 安全 。 

(1) 加 密 设备 应 有 一 定 的 物理 保护 措施 。 最 重要 的 密 钥 信息 应 采用 掉 电 保护 措施 ， 使 
得 在 任何 情况 下 只 要 一 拆 开 加 密 设备 ， 这 部 分 密 钥 就 会 自动 丢失 。 

(2) 如 果 采 用 软件 加 密 的 形式 ， 应 有 一 定 的 软件 保护 措施 。 

(3) 重要 的 加 密 设 备 应 有 紧急 情况 下 清除 密 钥 的 设计 。 

(4) 在 可 能 的 情况 下 ， 应 有 对 加 密 设 备 进行 非法 使 用 的 审计 的 设计 ， 把 非法 口令 输入 
等 事件 的 产生 时 间 等 记录 下 来 。 

(5) 高 级 的 专用 加 密 装 置 应 做 到 无 论 通 过 直观 的 、 电 子 的 或 其 他 方法 (X 射线 、 电 子 显 
微 镜 ) 都 不 可 能 从 加 密 设备 中 读 出 信息 。 

(6) 对 当前 使 用 的 密 钥 应 有 密 钥 的 合法 性 验证 措施 ， 以 防止 被 算 改 。 

3. 密 钥 的 使 用 


密 钥 不 能 无 限期 地 使 用 ， 密 钥 的 使 用 时 间 越 长 ， 泄 露 的 机 会 就 越 大 。 不 同 的 密 钥 应 有 
不 同 的 有 效 期 ， 如 电话 就 是 把 通话 时 间作 为 密 钥 有 效 期 ， 当 再 次 通话 时 就 启动 新 的 密 钥 。 
密 钥 加 密 密 钥 无 须 频 繁 更 换 ， 因 为 它们 只 是 偶尔 进行 密 钥 交换 。 而 用 来 加 密 保存 数据 文件 
的 加 密 密 钥 不 能 经 常 地 交换 ， 因 为 文件 可 以 加 密 储藏 在 磁盘 上 数 月 或 数 年 。 公 开 密 钥 应 用 
中 私人 密 钥 的 有 效 期 是 根据 应 用 的 不 同 而 变化 ， 用 于 数字 签名 和 身份 识别 的 私人 密 钥 必须 
持续 数 年 甚至 终身 。 


4. 密 钥 的 更 换 


一 旦 密 钥 有 效 期 到 ， 必 须 清除 原 密 钥 存 储 区 ， 或 者 用 随机 产生 的 噪声 重 写 。 但 为 了 保 
证 加 密 设备 能 连续 工作 ， 也 可 以 设计 成 新 密 钥 生效 后 ， 旧 密 钥 还 继续 使 用 一 段 时 间 ， 以 防 
止 在 更 换 密 钥 期 间 不 能 解密 。 

密 钥 更 换 可 以 采用 批 密 钥 的 方式 ， 即 一 次 性 装 入 多 个 密 钥 ， 在 更 换 密 钥 时 可 按照 一 个 
密 钥 生效 ， 另 一 个 密 钥 废除 的 形式 进行 ， 蔡 代 的 次 序 可 采用 密 钥 的 序号 。 如 果 批 密 钥 的 生 
效 与 废除 是 按 顺 序 的， 那么 序数 低 于 正在 使 用 的 密 钥 的 所 有 密 钥 都 已 过 期 ， 相 应 的 存储 区 
应 清 零 。 当 为 了 跳 过 一 个 密 钥 而 强制 密 钥 更 换 ， 由 于 被 跳 过 的 密 钥 不 再 使 用 ， 也 应 执行 
清 零 。 

5. 密 钥 的 销毁 


在 密 钥 定期 更 换 后 ， 旧 密 钥 就 必须 销毁 。 旧 密 钥 是 有 价值 的 ， 即 使 不 再 使 用 ， 有 了 它 
们 攻击 者 能 读 到 由 它 加 密 的 一 些 旧 消息 。 要 安全 地 销毁 存储 在 磁盘 上 的 密 钥 ， 应 多 次 对 磁 
盘存 储 的 实际 位 置 进行 写 覆 盖 或 将 磁盘 切 碎 ， 用 一 个 特殊 的 删除 程序 查看 所 有 磁盘 ， 寻 找 
在 未 用 存储 区 上 的 密 钥 副 本 ， 并 将 它们 删除 。 


2.3 ”数字 签名 与 数字 证 书 


在 传统 商务 活动 中 ， 为 保证 交易 的 安全 与 真实 ， 一 份 书面 合同 或 公文 要 由 当事人 或 其 
负责 人 签字 、 盖 章 ， 以 便 让 交易 双方 识别 是 谁 签 的 合同 ， 保 证 签字 或 盖 章 的 人 认可 合同 的 
内 容 ， 在 法 律 上 才能 承认 这 份 合同 的 有 效 性 。 而 在 电子 商务 的 虚拟 世界 中 ， 合 同 或 文件 是 
以 电子 文件 的 形式 表现 和 传递 的 ， 在 电子 文件 上 ， 传 统 的 手写 签名 和 盖 章 是 无 法 进行 的 ， 
这 就 必须 依靠 技术 手段 来 替代。 


2.3.1 电子 签名 


电子 签名 不 是 书面 签名 的 数字 化 ， 而 是 现代 认证 技术 的 泛称 ， 美 国 《统一 电子 交易 法 》 
规定 : 电子 签名 泛 指 “与 电子 记录 相关 联 的 或 在 逻辑 上 相 联 的 电子 声音 、 符 号 或 程序 ， 而 
该 电子 声音 、 符 号 或 程序 是 某 人 为 签署 电子 记录 的 目的 而 签订 或 采用 的 ”。 联 合 国 《电子 
商务 示范 法 》 中 规定 : 电子 签名 是 包含 、 附 加 在 某 一 数据 电文 内 ， 或 逻辑 上 与 某 一 数据 电 
文 相 联系 的 电子 形式 的 数据 ， 它 能 被 用 来 证 实 与 此 数据 电文 有 关 的 签名 人 的 身份 ， 并 表明 
该 签名 人 认可 该 数据 电文 所 载 信息 。 欧 盟 的 《电子 签名 指令 》 规 定 : 电子 签名 泛 指 与 其 他 
电子 记录 相连 的 或 在 逻辑 上 相连 并 以 此 作为 认证 方法 的 电子 形式 数据 。 

从 上 述 定义 来 看 ， 凡 是 能 在 电子 商务 中 ， 起 到 证 明 当事人 的 身份 、 证 明 当事人 对 文件 
内 容 认 可 的 电子 技术 手段 ， 都 可 称 为 电子 签名 ， 它 是 电子 商务 安全 的 重要 保障 手段 。 

目前 ， 可 以 通过 多 种 技术 手段 实现 电子 签名 ， 在 确认 签署 者 的 确切 身份 后 ， 人 们 可 以 
用 多 种 不 同 的 方法 签署 一 份 电子 记录 。 方 法 有 : 手写 签名 或 图 章 的 模式 识别 ， 以 生物 特征 
统计 学 为 基础 的 识别 标识 ， 一 个 让 收 件 人 能 识别 发 件 人 身份 的 密码 代号 、 密 码 或 个 人 识别 
码 (PIN)， 基 于 PKI(Public Key Infrastructure， 公 钥 基 础 设施 ) 的 公 钥 密码 技术 的 数字 签名 等 。 


1. 手写 签名 或 图 章 的 模式 识别 


将 手写 签名 或 印章 作为 图 像 ， 扫 描 转 换 后 在 数据 库 中 加 以 存储 ， 当 对 此 人 进行 验证 时 ， 
扫描 输入 并 将 原 数据 库 中 对 应 图 像 调 出 ， 用 模式 识别 的 数学 计算 方法 进行 比 对 ， 以 确认 该 
签名 或 印章 的 真 伪 。 由 于 这 种 方法 需要 大 容量 数据 库存 储 以 及 每 次 手写 签名 和 盖 印 都 有 差 
异 ， 因 此 不 适用 于 在 因特网 上 传输 。 


2. 生物 识别 技术 


生物 识别 技术 是 利用 人 体 生物 特征 进行 身份 认证 的 一 种 技术 ， 生 物 特 征 是 一 个 人 与 他 
人 不 同 的 唯一 表征 ， 它 是 可 以 测量 、 自 动 识 别 和 验证 的 。 生 物 识别 系统 对 生物 特征 进行 取 
样 ， 提 取 其 唯一 的 特征 进行 数字 化 处 理 ， 转 换 成 数字 代码 ， 并 进一步 将 这 些 代码 组 成 特征 
模板 存 于 数据 库 中 。 人 们 同 识 别 系 统 交互 进行 身份 认证 时 ， 识 别 系统 获取 其 特征 并 与 数据 
库 中 的 特征 模板 进行 比 对 ， 以 确定 是 否 匹 配 ， 从 而 确认 或 否认 此 人 。 以 上 身份 识别 方法 适 
用 于 面对面 场合 ， 而 不 适用 于 远程 网 络 认 证 及 大 规模 人 群 认 证 。 


第 2 音 ” 数字 加 客 与 认证 攻克 @@ 


3. 密码 、 密 码 代号 或 个 人 识别 码 


传统 的 对 称 密 钥 加 /解密 的 身份 识别 和 签名 方法 中 ， 甲 方 需要 乙方 签署 一 份 电子 文件 ， 
甲 方 可 产生 一 个 随机 码 传送 给 乙方 ， 乙 方 用 双方 事先 约定 好 的 对 称 密 钥 加 密 该 随机 码 和 电 
子 文件 回 送 给 甲 方 ， 甲 方 用 同样 对 称 密 钥 解密 后 得 到 电文 并 核对 随机 码 ， 如 随机 码 核对 正 
确 ， 甲 方 即 可 认为 该 电文 来 自 乙方 。 它 适用 于 远程 网 络 传输 ， 但 对 称 密 钥 管理 困难 ， 不 适 
合 大 规模 人 和 群 认证 。 

实现 电子 签名 的 技术 手段 有 很 多 种 , 但 目前 比较 成 熟 的 、 使 用 方便 且 具 有 可 操作 性 的 、 
在 世界 先进 国家 和 我 国 普遍 使 用 的 电子 签名 技术 ， 还 是 基于 PKI 的 数字 签名 技术 。 由 于 保 
持 技术 中 立 性 是 制定 法 律 的 一 个 基本 原则 ， 目 前 还 没有 任何 理由 说 明 公 钥 密码 理论 是 电子 
签名 的 唯一 技术 ， 因 此 有 必要 规定 一 个 更 一 般 化 的 概念 以 适应 今后 技术 的 发 展 。 

在 对 称 密 钥 加 /解密 认证 中 ， 在 实际 应 用 方面 经 常 采 用 的 是 ID+PIN( 身 份 唯一 标识 + 口 
令 ), 即 发 送 方 用 对 称 密 钥 加 密 ID 和 PIN 发 送 给 接收 方 , 接收 方 解 密 后 与 后 台 存 放 的 ID 和 
口令 进行 比 对 ， 达 到 认证 的 目的 。 人 们 在 日 常生 活 中 使 用 的 银行 卡 就 采用 这 种 认证 方法 。 
它 适用 于 远程 网 络 传输 ， 对 称 密 钥 管理 困难 ， 不 适用 于 电子 签名 。 


2.3.2 ”认证 机 构 (CA) 


认证 机 构 是 PKI 的 核心 执行 机 构 ， 是 PKI 的 主要 组 成 部 分 ， 一 般 简 称 为 CA， 在 业界 
通常 把 它 称 为 认证 中 心 , 它 是 具有 权威 性 、 可 信任 性 和 公正 性 的 第 三 方 机 构 。 认 证 机 构 CA 
的 建设 要 根据 国家 市 场 准 入 政策 由 国家 主管 部 门 批准 , 具有 权威 性 ; CA 机 构 本 身 的 建设 应 
具备 条 件 、 采 用 的 密码 算法 及 技术 保障 是 高 度 安 全 的 ， 具有 可 信任 性 ; CA 是 不 参与 交易 双 
方 利益 的 第 三 方 机 构 ， 具 有 公正 性 。CA 认证 机 构 在 《电子 签名 法 》 中 被 称 为 “电子 认证 服 
务 提供 者 ”。 

CA 的 组 成 主要 有 : @ 证 书签 发 服务 器 ， 负 责 证 书 的 签发 和 管理 ， 包 括 证 书 归 档 、 撤 销 
和 更 新 等 ，@ 密 钥 管 理 中 心 ， 用 硬件 加 密 机 产生 公 / 私 密 钥 对 ， 提 供 CA 证 书 的 签发 ，@ 目 
录 服 务 器 负责 证 书 和 证 书 撤销 列表 (CRL) 的 发 布 和 查询 。 

CA 的 组 成 结构 如 图 2.6 所 示 。 它 是 一 个 层次 结构 ， 第 一 级 是 根 CA(Root CA)， 负 责 总 
政策 ， 第 二 级 是 政策 CA(PCA)， 负 责 制 定 具 体 认 证 策略 ， 第 三 级 为 操作 CA(OCA)， 是 证 
书签 发 、 发 布 和 管理 的 机 构 。 


| 运营 OCA | | 运营 OCA | | Wi | 


图 2.6 CA 结构 
RA(Registration Authority, 注册 机 构 ) 是 认证 中 心 的 组 成 部 分 , 是 数字 证 书 的 申请 注册 、 
审批 、 校 对 和 管理 机 构 。 证 书 申请 注册 机 构 RA 也 是 层次 结构 ，RA 为 注册 总 中 心 ， 负 责 证 
书 申请 注册 汇总 ，LRA 为 远程 本 地 受理 点 ， 负 责 用 户 证 书 申请 和 审查 ， 只 有 那些 经 过 身份 
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信用 审查 合格 的 用 户 ， 才 可 以 接受 证 书 的 申请 ， 批 准 向 其 签发 证 书 ， 这 是 保障 证 书 使 用 的 
安全 基础 。 


2.3.3 ”数字 签名 


数字 签名 在 ISO 7498-2 标准 中 的 定义 为 : 附加 在 数据 单元 上 的 一 些 数据 ， 或 是 对 数据 
单元 所 做 的 密码 变换 ， 这 种 数据 和 变换 允许 数据 单元 的 接收 者 用 以 确认 数据 单元 来 源 和 数 
据 单元 的 完整 性 ， 并 保护 数据 ， 防 止 被 别人 (如 接收 者 ) 伪 造 。 美 国电 子 签名 标准 (DSS， 
FIPS186-2) 对 数字 签名 作 了 以 下 解释 : “利用 一 套 规则 和 一 个 参数 对 数据 计算 所 得 的 结果 ， 


| 用 此 结果 能 够 确认 签名 者 的 身份 和 数据 的 完整 性 ”。 数字 签名 必须 保证 以 下 3 点 : 


(1) 接收 者 能 够 核实 发 送 者 对 报 文 的 签名 。 

(2) 发 送 者 事后 不 能 抵赖 对 报 文 的 签名 。 

(3) 接收 者 不 能 伪造 对 报 文 的 签名 。 

可 以 有 多 种 方法 来 实现 数字 签名 ， 以 下 介绍 其 中 的 几 种 。 


1. 使 用 秘密 密 钥 算法 的 数字 签名 


这 种 方式 需要 CA 的 参与 ， 每 个 用 户 事先 选择 好 一 个 与 CA 共享 的 密 钥 ， 并 亲手 交 到 
CA 办 公 室 ， 以 保证 只 有 用 户 和 CA 知道 这 个 密 钥 。 此 外 ，CA 还 有 一 个 对 所 有 用 户 都 保密 
的 密 钥 Kca4， 如 图 2.7 所 示 。 


4，KA(B，RA， 1, P) 


KB(A, Ra, 1t, P, Kcal(4, 1, P)) 


图 2.7 使 用 CA 进行 数字 签名 


当 用 户 A 想 向 用 户 B 发 送 一 个 签名 的 报 文 已 时 ， 它 向 CA 发 出 Ka(B,Ra,4,P)， 其 中 RA 
为 报 文 的 随机 编号 , t 为 时 间 戳 ; CA 将 其 解密 后 , 重新 组 织 成 一 个 新 的 密 文 Ks(A,RAa,t,P,Kca 
(4,4P)) 发 给 B， 因 为 只 有 CA 知道 密 钥 KeA， 因 此 其 他 任何 人 都 无 法 产生 和 解 开 密 文 
Kca(4,4.P); B 用 密 钥 Kes 解 开 密 文 后 ， 首 先 将 Kca(4,4.P) 放 在 一 个 安全 的 地 方 ， 然 后 阅读 和 
执行 P。 

当 过 后 A 试图 否认 给 B 发 过 报 文 P 时 ，B 可 以 出 示 Kca(4,4.P) 来 证 明 A 确实 发 过 PP， 
因为 B 自己 无 法 伪造 出 Kca(4,£.P)， 它 是 由 CA 发 来 的 ， 而 CA 是 可 以 信赖 的 ， 如 果 A 曾 
给 CA 发 过 P，CA 就 不 会 将 P 发 给 B， 这 时 只 要 用 Kca 对 Kca(4.4.P) 进 行 解密 ， 一 切 就 可 
真相 大 白 。 

为 避免 重复 攻击 ， 协 议 中 使 用 了 随机 报 文 编号 Rs 和 时 间 戳 :+。B 能 记 住 最 近 收 到 的 所 
有 报 文 编号 ， 如 果 和 其 中 的 某 个 编号 相同 ， 则 P 就 被 当成 是 一 个 复制 品 而 丢弃 ， 另 外 B 也 
根据 时 间 戳 t 丢弃 一 些 非常 老 的 报 文 ， 以 防止 攻击 者 经 过 很 长 一 段 时 间 后 再 用 老 报 文 来 重 
复 攻击 。 
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2. 使 用 公开 密 钥 算 法 的 数字 签名 

使 用 公开 密 钥 算法 的 数字 签名 的 加 密 算法 和 解密 算法 除了 要 满足 D(E(P))=P 外 ， 还 必 
须 满足 ELD(P))=P。 数字 签名 的 过 程 如 图 2.8 所 示 , 当 用 户 A 想 向 用 户 B 发 送 签名 的 报 文书 
时 ， 它 向 B 发 送 配 (DA(P))， 由 于 A 知道 自己 的 私人 密 钥 Da。 和 B 的 公开 密 钥 EB， 因而 这 
是 可 能 的 ; B 收 到 密 文 后 ， 先 用 私人 密 钥 De 解 开 密 文 , 将 DaA(P) 复 制 一 份 放 于 安全 的 地 方 ， 
然后 用 A 的 公开 密 钥 Es 将 Da(P) 解 开 ， 取 出 PP。 如 图 2.8 所 示 。 

当 A 过 后 试图 否认 给 B 发 过 P 时 , B 可 以 出 示 Da(P) 作 为 证 据 , 因为 B 没 有 A 的 私人 
密 钥 DAs， 除 非 A 确实 发 过 Da(P)， 否 则 B 是 不 会 有 这 样 一 份 密 文 的 ， 只 要 用 A 的 公开 密 
钥 EA 解 开 Da(P)， 就 可 以 知道 B 说 的 是 真 话 。 


Da(P) EaDa(P) Da(P) 


图 2.8 使 用 公开 密 钥 的 数字 签名 

3. 使 用 报 文摘 要 的 数字 签名 

以 上 的 签名 方法 将 认证 和 保密 两 种 截然 不 同 的 功能 混在 了 一 起 ， 有 些 报 文 只 需要 签名 
而 不 需要 保密 。 为 此 有 人 提出 一 个 新 的 方案 , 使 用 一 个 单 向 的 Hash 函数 , 将 任意 长 的 明文 
转换 成 一 个 固定 长 度 的 数据 串 ， 然 后 仅 对 该 数据 串 进行 加 密 。 

这 样 的 Hash 函数 通常 称 为 报 文摘 要 (Message Digests, MD), 它 必须 满足 以 下 3 个 条 件 : 

(1) 给 定 P 就 很 容易 计算 出 MD(P)。 

(2) 只 给 出 MD(P)， 很 难 计 算出 P。 

(3) 无 法 生成 两 个 具有 相同 的 报 文摘 要 的 报 文 。 

为 满足 第 @ 个 条 件 ，MD(P) 至 少 必须 达到 128bit， 实 际 上 有 很 多 函数 符合 以 上 3 个 
条 件 。 

考虑 图 2.8 的 例子 , CA 解 开 密 文 后 , 首先 计算 出 MD(P), 然后 着 手 组 织 一 个 新 的 密 文 ， 
在 新 的 密 文中 它 不 是 发 送 KcaA(4，t，P)， 而 是 发 送 Kca(4，t，MD(P))， 而 B 解 开 密 文 后 将 
Kca(4，t，MD(P)) 保 存 起 来 。 如 果 发 生 纠纷 ，B 可 以 出 示 忆 和 Kca(4，t，MD(P)) 作 为 证 据 。 

因为 Kca(4,1, MD(P)) 是 由 CA 送 来 的 ,B 无 法 伪造 , 当 CA 用 Kca 解 开 密 文 取出 MD(P) 
后 ， 可 将 Hash 函数 作用 于 B 提供 的 明文 P， 然 后 判断 报 文摘 要 是 否 和 MD(P) 相 同 。 因 为 
条 件 @@ 保 证 了 不 可 能 伪造 出 另 一 个 报 文 ， 使 得 其 报 文摘 要 同 MD(P) 一 样 ， 因 此 只 要 两 个 报 
文摘 要 相同 ， 就 证 明了 B 确实 收 到 了 P。 

在 公开 密 钥 密码 系统 中 , 使 用 报 文摘 要 进行 数字 签名 的 过 程 如 图 2.9 所 示 。 首先 用 户 A 
对 明文 P 计 算出 MD(P), 然后 用 私人 密 钥 对 MD(P) 进 行 加 密 , 连同 明文 尸 一 起 发 送 给 用 户 
B; B 将 DAMD(P)) 复 制 一 份 放 于 安全 的 地 方 , 然后 用 A 的 公开 密 钥 解 开 密 文 取出 MD(P)， 
为 防止 途中 有 人 更 换 报 文 P，B 对 PP 进行 报 文摘 要 ， 如 结果 同 MD(P) 相 同 ， 则 将 接收 下 


来 。 当 B 试图 否认 发 送 过 己 时 ，B 可 以 出 示 P 和 Da(MD(P)) 来 证 明 自 己 确实 收 到 过 P。 


图 2.9 使 用 报 文摘 要 的 数字 签名 


以 上 就 是 实现 数字 签名 的 方法 , 在 这 几 种 方法 中 , 使 用 公开 密 钥 的 数字 签名 应 用 最 广 ， 
通常 说 的 数字 签名 就 是 指使 用 公开 密 钥 的 数字 签名 。 


2.3.4 公 钥 基础 设施 (PKI) 


使 用 数字 签名 的 前 提 就 是 要 保证 公 钥 和 公 钥 持 有 人 之 间 的 对 应 关系 ， 即 如 何 确认 某 个 
人 是 否 真 正 拥 有 公 钥 (及 对 应 的 私 钥 )。 为 解决 这 个 问题 ， 世 界 各 国 对 其 进行 了 多 年 的 研究 ， 
初步 形成 了 一 套 完整 的 mtemet 安全 解决 方案 ， 即 目前 被 广泛 采用 的 PKI 技术 (Public Key 
Infrastructure， 公 钥 基 础 设施 ) 技 术 。 该 技术 采用 证 书 管理 公 钥 ， 通 过 第 三 方 的 可 信任 机 
构 一 一 认证 中 心 (CA)， 把 用 户 的 公 铀 和 其 他 标识 信息 (如 名 称 、E-mail、 身 份 证 号 等 ) 捆 绑 在 
一 起 ， 在 Internet 上 验证 用 户 的 身份 。 目 前 ， 通 用 的 办 法 是 采用 基于 PKI 结构 结合 数字 证 
书 ， 通 过 把 要 传输 的 数字 信息 进行 加 密 ， 保 证 信息 传输 的 保密 性 、 完 整 性 ， 签 名 保证 身份 
的 真实 性 和 抗 抵赖 性 。 

PKI 是 一 个 利用 非 对 称 密码 算法 ( 即 公开 密 钥 算法 ) 原 理 和 技术 实现 并 提供 网 络 安全 服 
务 的 通用 安全 基础 设施 ， 它 遵循 标准 的 公 钥 加 密 技 术 ， 为 电子 商务 、 电 子 政务 、 网 上 银行 
和 网 上 证 券 业 ， 提 供 一 整套 安全 保证 的 基础 平台 。PKI 这 种 遵循 标准 的 密 钥 管理 平台 ， 能 
够 为 所 有 网 上 应 用 提供 加 /解密 和 数字 签名 等 安全 服务 所 需要 的 密 钥 和 证 书 管理 。 

PKI 的 核心 执行 机 构 是 认证 机 构 CA， 其 核心 元 素 是 数字 证 书 。 

1. PKI 的 标准 与 协议 


与 PKI 相关 的 标准 包括 以 下 内 容 。 

1) XX.209(1988)ASN.1 基本 编码 规则 的 规范 

ASN.1 用 于 描述 网 络 上 传输 信息 的 格式 。 它 包含 两 部 分 :第 一 部 分 (ISO 8824/ITU X.208) 
描述 信息 内 的 数据 、 数 据 类 型 及 序列 格式 ， 也 就 是 数据 的 语法 ， 第 二 部 分 (ISO 8825/1TU 
X.209) 描 述 如 何 将 各 部 分 数据 组 成 消息 ， 也 就 是 数据 的 基本 编码 规则 。 

ASN.1 原来 是 作为 X.409 的 一 部 分 而 开发 的 ， 后 来 独立 地 成 为 一 个 标准 。 这 两 个 协议 
除了 在 PKI 体系 中 被 应 用 外 ， 还 被 广泛 应 用 于 通信 和 计算 机 等 其 他 领域 。 

2) “X.500(1993) 信 息 技术 (开放 系统 互联 ) 的 概念 、 模 型 及 服务 简 述 

X.500 是 一 套 已 经 被 国际 标准 化 组 织 (ISO) 接 受 的 目录 服务 系统 标准 ， 它 定义 了 一 个 机 
构 如 何在 全 局 范围 内 共享 其 名 字 和 与 之 相关 的 对 象 .X.500 是 层次 性 的 , 其 中 的 管理 性 域 (机 
构 、 分 支 、 部 门 和 工作 组 ) 可 以 提供 这 些 域内 的 用 户 和 资源 信息 。 在 PKI 体系 中 ，X.500 被 
用 来 唯一 标识 一 个 实体 ， 该 实体 可 以 是 机 构 、 组 织 、 个 人 或 一 台 服 务 器 。X.500 被 认为 是 
实现 目录 服务 的 最 佳 途径 ， 但 X.500 的 实现 需要 较 大 的 投资 ， 并 且 比 其 他 方式 速度 慢 ;而 
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其 优势 则 在 于 具有 信息 模型 、 多 功能 和 开放 性 。 

3) “X.509(1993) 信 息 技 术 (开放 系统 互联 ) 的 鉴别 框架 

X.509 是 由 国际 电信 联盟 GTU-T) 制 定 的 数字 证 书 标准 。 在 X.500 确保 用 户 名 称 唯一 性 
的 基础 上 ，X.509 为 X.500 用 户 名 称 提供 通信 实体 的 鉴别 机 制 ， 并 规定 实体 鉴别 过 程 中 广 
泛 适 用 的 证 书 语法 和 数据 接口 。 

X.509 证 书 由 用 户 公共 密 钥 和 用 户 标 识 符 组 成 ， 此 外 还 包括 版 本 号 、 证 书 序列 号 、CA 
标识 符 、 签 名 算法 标识 、 签 发 者 名 称 及 证 书 有 效 期 等 信息 。 这 一 标准 的 最 新 版 本 是 X.509 v3。 


2. PKCS 系列 标准 


由 RSA 实验 室 制 定 的 PKCS 系列 标准 ， 是 一 套 针对 PKI 体系 的 加 /解密 、 签 名 、 密 钥 
交换 、 分 发 格式 的 行为 标准 ， 该 标准 目前 已 经 成 为 PKI 体系 中 不 可 缺少 的 一 部 分 。 


3. 在 线 证 书 状态 协议 (OCSP) 


OCSP(Online Certificate Status Protocol， 在 线 证 书 状 态 协议 ) 是 IETF 颁布 的 用 于 检查 数 
字 证 书 在 某 一 交易 时 刻 是 否 仍然 有 效 的 标准 。 该 标准 提供 给 PKI 用 户 一 条 方便 、 快 捷 的 数 
字 证 书 状 态 查 询 通道 ， 使 PKI 体系 能 够 更 有 效 、 更 安全 地 在 各 个 领域 中 被 广泛 应 用 。 


4. 轻 量 级 目录 访问 协议 (LDAP) 


LDAP 规范 (RFC1487) 简 化 了 复杂 的 X.500 目录 访问 协议 ， 并 且 在 功能 性 、 数 据 表示 、 
编码 和 传输 方面 都 进行 了 相应 的 修改 。1997 年 ，LDAP 第 3 版 本 成 为 因特网 标准 。 目 前 ， 
LDAP v3 已 经 在 PKI 体系 中 被 广泛 应 用 于 证 书信 息 发 布 、CRL 信息 发 布 、CA 政策 以 及 与 

信息 发 布 相关 的 各 个 方面 。 

除了 以 上 协议 外 ， 还 有 一 些 构建 在 PKI 体系 上 的 应 用 协议 ， 这 些 协 议 是 PKI 体系 在 应 
用 和 普及 化 方面 的 代表 ， 包 括 SET 协议 和 SSL 协议 。 

目前 PKI 体系 中 已 经 包含 了 众多 的 标准 和 标准 协议 , 随 着 PKI 技术 的 不 断 进 步 和 完善 ， 
以 及 其 应 用 的 不 断 普及 ， 将 来 还 会 有 更 多 的 标准 和 协议 加 入 其 中 。 


2.3.5 ”数字 证 书 


数字 证 书简 称 证 书 ， 是 PKI 的 核心 元 素 ， 由 认证 机 构 服 务 器 签发 ， 它 是 数字 签名 的 技 
术 基 础 保障 ， 符 合 X.509 标准 ， 能 够 证 明 某 一 实体 的 身份 以 及 其 公 钥 的 合法 性 及 该 实体 与 
公 钥 二 者 之 间 的 匹配 关系 。 证 书 是 公 钥 的 载体 ， 证 书 上 的 公 钥 与 实体 身份 唯一 绑 定 。 现 行 
的 PKI 机 制 一 般 为 双 证 书 机 制 ， 即 一 个 实体 应 具有 两 个 证 书 ， 两 个 密 钥 对 ， 一 个 是 加 密 证 
书 ， 一 个 是 签名 证 书 ， 加 密 证 书 原则 上 是 不 能 用 于 签名 的 。 

1. 数字 证 书 的 内 容 

证 书 在 公 钥 体制 中 是 密 钥 管理 的 介质 ， 不 同 的 实体 可 通过 证 书 来 互相 传递 公 钥 ， 证 书 
由 具有 权威 性 、 可 信任 性 和 公正 性 的 第 三 方 机 构 签发 ， 是 具有 权威 的 电子 文档 。 证 书 的 主 


要 内 容 ， 按 X.509 标准 规定 其 逻辑 表达 式 为 
CA 《A》 =CA{V,SN,ALCA,UCA.,A,UA.,Ap,Ta} 


从 | 其 中 的 参数 说 明 如 下 。 

@ CA《A》: 认证 机 构 CA 为 用 户 A 颁发 的 证 书 。 
e@ CA{,,,}: 认证 机 构 CA 对 花 括 弧 内 证 书 内 容 进行 的 数字 签名 。 
e@ V: 证 书 版 本 号 。 

@ ”SN: 证 书 序列 号 。 

e@ AI: 用 于 对 证 书 进行 签名 的 算法 标识 。 
e@ CA: 签发 证 书 的 CA 机 构 的 名 字 。 
e@ UCA: 签发 证 书 的 CA 的 唯一 标识 符 。 
e@ A: 用 户 A 的 名 字 。 

e@ UA: 用 户 A 的 唯一 标识 。 
【2 

® 

从 V 


Ap: 用 户 A 的 公 钥 。 
Ta: 证 书 的 有 效 期 。 
到 Ta 是 证 书 在 标准 域 中 的 主要 内 容 。 表 2.4 给 出 了 一 般 证 书 的 例子 。 


表 2.4 数字 证 书 实例 


项 _ 目 实 _ 例 
证 书 格式 版 本 V3 
证 书 序 列 号 14c3 2a 43 7d 06 88 ec 0d 82 b2 6d c5 73 85 02 
CA 签名 算法 标识 md5RSA 
签发 CA 名 称 O=cfca, c=CN 
证 书 有 效 期 2005-5-1**2007-5-1 
证 书 持 有 者 名 称 Cn=******0=cfcac=CN 
证 书 公 钥 A058.cf31.3bc3 


证 书 扩展 域 Keyusage=digital 
CA 对 证 书 的 签名 Ca58.b2c3.1bc6 


证 书 的 这 些 内 容 主要 用 于 身份 认证 、 签名 的 验证 和 有 效 期 的 检查 。CA 签发 证 书 时 ， 要 
对 上 述 内 容 进行 签名 ， 以 示 对 所 签发 证 书 内 容 的 完整 性 、 准 确 性 负责 ， 并 证 明 该 证 书 的 合 
法 性 和 有 效 性 ， 最 后 将 网 上 身份 与 证 书 绑 定 。CA 对 证 书 的 签名 如 图 2.10 所 示 。 


序列 号 CA 密 钥 


颁发 者 识别 名 


有 效 期 


主体 唯一 识别 名 


主体 公 钥 


密 钥 证 书 用 途 


扩展 域 


CA 签名 


图 2.10 ”CA 对 实体 签发 的 证 书 
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CA 颁发 的 上 述 证 书 与 对 应 的 私 钥 存 放 在 一 个 保密 文件 里 ， 最 好 的 办 法 是 存放 在 IC 卡 
和 USBKey 介质 中 ,可 以 保证 私 钥 不 出 卡 (所 有 的 和 私 钥 相 关 的 密码 操作 均 在 卡 内 完成 , 充 
分 保证 根 密 钥 的 安全 )， 证 书 不 能 被 复制 ， 其 特点 是 安全 性 高 、 携 带 方便 、 便 于 管理 。 

2. 数字 证 书 的 分 类 

数字 证 书 通常 分 为 个 人 证 书 、 企 业 证 书 、 软 件 证 书 。 

(1) 个 人 证 书 (Personal Digital ID) 为 某 一 个 用 户 提供 证 书 , 以 帮助 个 人 在 网 上 安全 地 进 
行 电子 交易 操作 。 个 人 身份 的 数字 证 书 通常 是 安装 在 客户 端的 浏览 器 内 ， 并 通过 安全 的 电 
子 邮 件 进行 交易 操作 。 网 景 公 司 的 “导航 者 ”浏览 器 (Navigator) 和 微软 公司 的 “探索 者 ” 
浏览 器 (Intemet Explorer) 都 支持 该 功能 。 个 人 数字 证 书 是 通过 浏览 器 来 申请 获得 的 ,认证 中 
心 对 申请 者 的 电子 邮件 地 址 、 个 人 身份 证 及 信用 卡号 等 进行 核实 后 , 就 签发 个 人 数字 证 书 ， 
并 将 数字 证 书 安置 在 用 户 所 用 的 浏览 器 或 电子 邮件 的 应 用 系统 中 ， 同 时 也 给 申请 者 发 送 一 
个 通知 。 个 人 数字 证 书 的 使 用 方法 是 集成 在 用 户 的 浏览 器 的 相关 功能 中 ， 用 户 其 实 只 要 作 
出 相应 的 选择 就 行 了 。 

个 人 数字 证 书 有 4 个 级 别 。 第 一 级 别 是 最 简单 的 ， 只 提供 个 人 电子 邮件 地 址 的 认证 ， 
它 仅 与 电子 邮件 地 址 有 关 ， 并 不 对 个 人 信息 进行 认证 ， 是 最 初级 的 认证 ;第 二 级 别提 供 个 
人 姓名 、 个 人 身份 (驾照 、 社 会 保险 号 、 出 生年 月 等 ) 等 信息 的 认证 ;第 三 个 级 别 是 在 第 二 
级 别 之 上 加 上 了 充当 信用 支票 的 功能 ， 第 四 级 别 包 括 证 书 所 有 人 的 职位 、 所 属 组 织 等 ， 但 
这 一 级 别 还 没有 最 后 定型 。 

(2) 企业 证 书 ， 也 就 是 服务 器 证 书 (Server ID)， 它 是 对 网 上 的 服务 器 提供 一 个 证 书 ， 拥 
有 Web 服务 器 的 企业 就 可 以 用 具有 证 书 的 nternet 网 站 (Web Site) 来 进行 安全 电子 交易 。 拥 
有 数字 证 书 的 服务 器 可 以 自动 与 客户 进行 加 密 通 信 , 有 证 书 的 Web 服务 器 会 自动 地 将 其 与 
客户 端 Web 浏览 器 通信 的 信息 加 密 。 服 务 器 的 拥有 者 (相关 的 企业 或 组 织 ) 有 了 证 书 ， 就 可 
以 进行 安全 电子 交易 。 

服务 器 证 书 的 发 放 较为 复杂 。 因 为 服务 器 证 书 是 一 个 企业 在 网 络 上 的 形象 ， 是 企业 在 
网 络 空间 信任 度 的 体现 。 权 威 的 认证 中 心 对 每 一 个 申请 者 都 要 进行 信用 调查 ， 包 括 企 业 基 
本 情况 、 营 业 执照 、 纳 税 证 明 等 。 要 对 该 企业 对 服务 器 的 管理 情况 进行 考核 ， 一 般 是 通过 
事先 准备 好 的 详细 验证 步骤 逐步 进行 ， 如 是 否 有 一 套 完善 的 管理 规范 ， 是 否 有 完善 的 加 密 
技术 和 保密 措施 ， 是 否 有 多 层 逻 辑 访 问 控制 、 生 物 统计 扫描 仪 、 红 外 线 监视 器 等 ， 认 证 中 
心经 过 考察 后 决定 是 否 发 放 或 撤销 服务 器 数字 证 书 。 一 旦 决定 发 放 后 ， 该 服务 器 就 可 以 安 
装 认证 中 心 提供 的 服务 器 证 书 ， 安 装 成 功 后 即 可 投入 服务 。 服 务 器 得 到 数字 证 书后 ， 就 会 
有 一 对 密 钥 ， 它 与 服务 器 是 密 不 可 分 的 ， 数 字 证 书 与 这 对 密 钥 一 起 表示 该 服务 器 的 身份 ， 
是 整个 认证 的 核心 。 

(3) 软件 (开发 者 ) 证 书 (Developer ID) 通 常 为 因特网 中 被 下 载 的 软件 提供 证 书 ， 该 证 书 
用 于 和 微软 公司 Authenticode 技术 (合法 化 软化 ) 结 合 的 软件 , 以 使 用 户 在 下 载 软件 时 能 获得 
所 需 的 信息 。 

上 述 3 类 证 书 中 前 两 类 是 常用 的 证 书 ， 第 3 类 则 用 于 较 特殊 的 场合 ， 大 部 分 认证 中 心 
提供 前 两 类 证 书 ， 能 完全 提供 各 类 证 书 的 认证 中 心 并 不 普遍 。 

数字 证 书 的 管理 包括 两 方面 的 内 容 : 一 是 颁发 数字 证 书 ， 二 是 撤销 数字 证 书 。 在 一 些 
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情况 下 ， 如 密 钥 丢失 或 被 窃 ， 或 者 某 个 服务 器 变更 了 ， 就 需要 一 种 方法 来 验证 数字 证 书 的 
有 效 性 ， 要 建立 一 份 证 书 取消 清单 并 公之于众 ， 这 份 清单 是 可 伸缩 的 。 由 于 数字 证 书 也 要 
有 相应 的 有 效 期 ， 为 此 ， 认 证 中 心 一 般 都 制定 相应 的 管理 措施 和 政策 ， 来 管理 其 属 下 的 数 
字 证 书 。 

目前 ， 数 字 证 书 可 用 于 电子 邮件 、 电 子 贸易 、 电 子 基金 转移 等 各 种 用 途 。 当 然 数字 证 
书 的 应 用 范围 和 效果 目前 还 是 有 限 的 。 


2.3.6 ”数字 时 间 戳 技术 


数字 时 间 戳 技术 是 数字 签名 技术 的 一 种 变相 应 用 。 在 书面 合同 中 ， 文 件 签署 的 日 期 和 
签名 同样 是 防止 文件 被 伪造 和 自 改 的 关键 性 内 容 。 数 字 时 间 戳 (Digital Time Stamp, DTS) 服 
务 是 网 上 电子 商务 安全 服务 项 目 之 一 ， 能 提供 电子 文件 的 日 期 和 时 间 信 息 的 安全 保护 。 

时 间 戳 (Time-Stamp) 是 一 个 经 加 密 后 形成 的 凭证 文档 ， 它 包括 以 下 3 个 部 分 : 

e@ 需 加 时 间 惟 的 文件 的 摘要 (Digesb。 

e@ DTS 收 到 文件 的 日 期 和 时 间 。 

@ ”DTS 的 数字 签名 。 

用 户 首先 将 需要 加 时 间 恰 的 文件 用 Hash 函数 加 密 形 成 摘要 ， 然 后 将 该 摘要 发 送 到 
DTS，DTS 在 加 入 了 收 到 文件 摘要 的 日 期 和 时 间 信 息 后 再 对 该 文件 加 密 ( 数 字 签名 )， 然 后 
送 回 用 户 。 

书面 签署 文件 的 时 间 是 由 签署 人 自己 写 上 的 ， 而 数字 时 间 戳 则 不 然 ， 它 是 由 认证 单位 
的 DTS 来 加 的 ， 以 DTS 收 到 文件 的 时 间 为 依据 。 


2.4 认证 技术 


在 网 络 系统 中 ,安全 目标 的 实现 除了 采用 加 密 技 术 外 ， 另 一 个 重要 方面 就 是 认证 技术 。 
认证 技术 的 主要 作用 是 进行 信息 认证 。 信 息 认 证 的 目的 : 一 是 确认 信息 发 送 者 的 身份 ; 二 
是 验证 信息 的 完整 性 ， 即 确认 信息 在 传送 或 存储 过 程 中 未 被 算 改 过 。 常 用 的 安全 认证 技术 
主要 有 数字 摘要 、 数 字 信封 、 数 字 签名 、 数 字 时 间 戳 、 数 字 证 书 和 安全 认证 机 构 等 。 认 证 
是 防止 主动 攻击 的 重要 技术 ， 它 对 于 开放 环境 中 的 各 种 信息 系统 的 安全 有 重要 作用 。 

认证 技术 一 般 可 以 分 为 以 下 两 种 。 

(1) 身份 认证 。 用 于 鉴别 用 户 身份 ， 包 括 识 别 ， 明 确 并 区 分 访问 者 的 身份 ; 验证 ， 对 
访问 者 声称 的 身份 进行 确认 。 

(2) 消息 认证 。 用 于 保证 信息 的 完整 性 和 抗 否认 性 。 在 很 多 情况 下 ， 用 户 要 确认 网 上 
信息 是 不 是 假 的 ， 信 息 是 否 被 第 三 方 修改 或 伪造 ， 这 就 需要 消息 认证 。 消 息 认 证 的 有 关内 
容 参 见 加 密 、 解 密 部 分 和 数字 签名 部 分 。 


2.4.1 身份 认证 的 重要 性 


有 这 样 一 个 经 典 的 漫画 ， 一 条 狗 在 计算 机 面前 一 边 打字 一 边 对 另 一 条 狗 说 : “在 因 特 
网 上 ， 没 有 人 知道 你 是 一 个 人 还 是 一 条 狗 ! ”这 个 漫画 说 明了 在 因特网 上 很 难 识别 身份 。 
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身份 认证 是 安全 系统 中 的 第 一 道 关卡 ， 如 图 2.11 所 示 。 

用 户 在 访问 安全 系统 之 前 ， 首 先 经 过 身份 认证 系统 识别 身份 ， 然 后 访问 监控 器 ， 根 据 
用 户 的 身份 和 授权 数据 库 决 定 用 户 是 否 能 够 访问 某 个 资源 。 

授权 数据 库 由 安全 管理 员 按照 需要 进行 配置 。 

审计 系统 根据 审计 设置 记录 用 户 的 请 求 和 行为 ， 同 时 利用 入 侵 检测 系统 实时 或 非 实时 
地 检测 是 否 有 入 侵 行为 。 

访问 控制 和 审计 系统 都 要 依赖 于 身份 认证 系统 提供 的 “信息 ”一 一 用 户 的 身份 。 

可 见 身份 认证 在 安全 系统 中 的 地 位 极其 重要 ， 是 最 基本 的 安全 服务 ， 其 他 的 安全 服务 
都 要 依赖 于 它 。 一 旦 身份 认证 系统 被 攻破 ， 那 么 系统 的 所 有 安全 措施 将 形同虚设 。 黑 客 攻 
击 的 目标 往往 就 是 身份 认证 系统 。 


访问 控制 


图 2.11 安全 系统 的 逻辑 结构 


2.4.2 ”身份 认证 的 方式 


用 户 与 主机 之 间 的 认证 可 以 基于 以 下 一 个 或 几 个 因素 。 

(1) 用 户 所 知道 的 东西 ， 如 口令 。 

(2) 用 户 拥 有 的 东西 ， 如 智能 卡 。 

(3) 用 户 所 具有 的 生物 特征 ， 如 指纹 、 声 音 、 视 网 膜 扫描 等 。 


1. 基于 口令 的 认证 方式 


基于 口令 的 认证 方式 是 最 常用 的 一 种 技术 ， 但 因为 它 是 一 种 单 因 素 的 认证 ， 安 全 性 仅 
依赖 于 口令 ， 口 令 一 旦 泄露 ， 用 户 即 可 被 冒充 。 更 严重 的 是 用 户 往往 选择 简单 、 易 被 猜测 
的 口令 ， 如 采用 与 用 户 名 相同 的 口令 以 及 生日 、 单 词 等 ， 此 问题 往往 成 为 安全 系统 最 薄弱 
的 突破 口 。 

口令 大 都 经 过 加 密 后 存放 在 口令 文件 中 ， 一 旦 口令 文件 被 窃取 ， 那 么 就 可 以 进行 离线 
的 字典 式 攻击 ,这 也 是 黑客 最 常用 的 手段 之 一 。 为 了 使 口令 更 加 安全 ， 可 以 通过 加 密 口令 ， 
或 修改 加 密 方法 来 提供 更 复杂 的 口令 ， 这 就 是 一 次 性 口令 方案 。 


2. 基于 智能 卡 的 认证 方式 
智能 卡 具 有 硬件 加 密 功能 ， 有 较 高 的 安全 性 。 每 个 用 户 持 有 一 张 智 能 卡 ， 智 能 卡 存 储 


Q@_ 


和 此 | 用 户 个 性 化 的 秘密 信息 ， 同 时 在 验证 服务 器 中 也 存放 该 秘密 信息 。 进 行 认 证 时 ， 用 户 输入 
机 | PIN( 个 人 身份 识别 码 )， 智 能 卡 认证 PIN 成 功 后 ， 即 可 读 出 智能 卡 中 的 秘密 信息 ， 进 而 利用 
内 该 秘密 信息 与 主机 之 间 进行 认证 。 
信 基于 智能 卡 的 认证 方式 是 一 种 双 因素 的 认证 方式 (PIN+ 智 能 卡 )， 即 使 PIN 或 智能 卡 被 
乱 | 窃取 ， 用 户 仍 不 会 被 冒充 。 智 能 卡 提供 硬件 保护 措施 和 加 密 算法 ， 可 以 利用 这 些 功能 加 强 
会 | 安全 性 能 。 例 如 ， 可 以 把 智能 卡 设置 成 用 户 只 能 得 到 加 密 后 的 某 个 秘密 信息 ， 从 而 防止 秘 
密 信息 的 泄露 。 

3. 基于 生物 特征 的 认证 方式 


这 种 认证 方式 利用 人 体 唯一 的 、 可 靠 的 、 稳 定 的 生物 特征 (如 指纹 、 视 网 膜 、 声 音 、 脸 
部 、 掌 纹 等 )， 采 用 计算 机 的 强大 功能 和 网 络 技术 进行 图 像 处 理 和 模式 识别 。 该 技术 具有 很 
强 的 安全 性 和 可 靠 性 ， 与 传统 的 身份 确认 手段 相 比 ， 无 疑 发 生 了 质 的 飞跃 。 近 几 年 来 ， 全 
球 的 生物 识别 技术 已 从 研究 阶段 转向 应 用 阶段 ， 前 景 十 分 广阔 。 

生物 识别 技术 主要 有 以 下 几 种 。 

(1) 指纹 识别 技术 。 每 个 人 的 指纹 皮肤 纹路 都 是 唯一 的 ， 并 且 终身 不 变 ， 通 过 将 指纹 
和 预先 保存 在 数据 库 中 的 指纹 采用 指纹 识别 算法 进行 比 对 ， 便 可 验证 真实 身份 。 

(2) 视网膜 识别 技术 。 视 网 膜 识别 技术 利用 激光 照射 眼球 的 背面 ， 扫 描 摄取 几 百 个 视 
网 膜 的 特征 点 ， 经 数字 化 处 理 后 形成 记忆 模板 存储 于 数据 库 中 ， 供 以 后 进行 比 对 验证 。 视 
网 膜 是 一 种 极其 稳定 的 生物 特征 ， 属 于 精确 度 较 高 的 识别 技术 。 

(3) 声音 识别 技术 。 声 音 识 别 技术 是 一 种 行为 识别 技术 ， 用 声音 录入 设备 反复 不 断 地 
测量 、 记 录 声 音波 形变 化 ， 进 行 频谱 分 析 ， 经 数字 化 处 理 后 做 成 声音 模板 加 以 存储 。 使 用 
时 将 现场 采集 到 的 声音 同 登记 过 的 声音 模板 进行 精确 匹配 ， 以 识别 身份 。 


2.4.3 ”消息 认证 


消息 认证 的 内 容 包括 以 下 几 个 方面 。 

(1) 证 实 消息 的 信 源 和 信 宿 。 

(2) 消息 内 容 是 否 受到 偶然 或 有 意 的 算 改 。 

(3) 消息 的 序号 和 时 间 性 。 

对 一 个 电子 文件 进行 数字 签名 并 在 网 上 传输 ， 首 先 要 在 网 上 进行 身份 认证 ， 然 后 再 进 
行 签名 ， 最 后 是 对 签名 的 验证 。 

1. 认证 

PKI 提供 的 服务 首先 是 认证 ， 即 身份 识别 ， 确 认 实体 即 为 自己 所 声明 的 实体 。 认 证 的 
前 提 是 甲乙 双方 都 具有 第 三 方 CA 所 签发 的 证 书 ， 认 证 分 单 向 认证 和 双向 认证 。 

(1) 单 向 认证 。 单 向 认证 是 甲乙 双方 在 网 上 通信 时 ， 甲 只 需要 认证 乙 的 身份 即 可 。 这 
时 甲 需要 获取 乙 的 证 书 ， 获 取 的 方式 有 两 种 ， 一 种 是 在 通信 时 乙 直 接 将 证 书 传 送 给 甲 ， 另 
一 种 是 甲 向 CA 目录 服务 器 索取 。 甲 获得 乙 的 证 书后 ， 首 先 用 CA 的 根 证 书 公 钥 验证 该 证 
书 的 签名 ， 验 证 通过 说 明 该 证 书 是 有 效 证 书 。 然 后 检查 证 书 的 有 效 期 以 及 该 证 书 是 否 已 作 
废 (LRC 检查 )， 若 作废 则 进入 黑 名 单 。 


第 2 音 ， 数字 加 客 与 认证 攻克 @@ 


(2) 双向 认证 。 双 向 认证 是 甲乙 双方 在 网 上 通信 时 , 用 户 甲 不 但 要 认证 用 户 乙 的 身份 ， 
乙 也 要 认证 甲 的 身份 。 其 认证 过 程 与 单 向 认证 过 程 相 同 ， 如 图 2.12 所 示 。 


EE 


图 2.12 双向 认证 过 程 
甲乙 双方 在 网 上 查询 对 方 证 书 的 有 效 性 及 黑 名 单 时 ， 采 用 的 是 LDAP(Light Directory 
Access Protocol) 协 议 ， 它 是 一 种 轻型 目录 访问 协议 。 
2. 数字 签名 与 验证 过 程 
网 上 通信 的 双方 ， 在 互相 认证 身份 后 ， 即 可 发 送 签名 的 数据 电文 。 数 字 签 名 与 验证 的 
过 程 和 技术 实现 的 原理 如 图 2.13 所 示 。 
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图 2.13 ”数字 签名 过 程 


数字 签名 过 程 分 两 部 分 ， 左 侧 为 签名 ， 右 侧 为 验证 过 程 。 即 发 送 方 将 原文 用 Hash 算法 
求 得 数字 摘要 ， 用 签名 私 钥 对 数字 摘要 加 密 形成 数字 签名 ， 发 送 方 将 原文 与 数字 签名 一 起 
发 送 给 接收 方 ， 接 收 方 验证 签名 ， 即 用 发 送 方 公 钥 解密 数字 签名 ， 获 得 数字 摘要 ; 然后 将 
原文 采用 同样 Hash 算法 又 得 到 一 个 新 的 数字 摘要 , 将 两 个 数字 摘要 进行 比较 ,如果 二 者 匹 
配 ， 则 说 明 经 数字 签名 的 电子 文件 传输 成 功 。 


算 3. 数字 签名 的 操作 过 程 


网 | ”数字 签名 的 操作 过 程 如 图 2.14 所 示 , 它 需要 有 发 送 方 的 签名 证 书 的 私 钥 及 其 验证 公 钥 。 
党 | 。。 数字 签名 操作 具体 过 程 如 下 ， 首 先生 成 被 签名 的 电子 文件 ， 然 后 对 电子 文件 用 Hash 
卓 | 算 法 做 数字 摘要 ， 再 对 数字 摘要 用 签名 私 钥 做 非 对 称 加 密 ， 即 制作 数字 签名 ， 然后 将 以 上 
灾 | 的 签名 和 电子 文件 原文 ， 以 及 签名 证 书 的 公 钥 加 在 一 起 进行 封装 ， 形 成 签名 结果 发 送 给 接 
全 | 收 方 ， 等 待 接收 方 验证 。 


图 2.14 数字 签名 操作 过 程 
4. 数字 签名 的 验证 过 程 


接收 方 收 到 发 送 方 的 签名 结果 后 进行 签名 验证 ， 其 具体 操作 过 程 如 图 2.15 所 示 。 

接收 方 收 到 数字 签名 的 结果 ， 其 中 包括 数字 签名 、 电 子 原文 和 发 送 方 公 钥 ， 即 待 验 证 
的 数据 。 接 收 方 进行 签名 验证 。 验 证 过 程 是 :接收 方 首先 用 发 送 方 公 钥 解 密 数 字 签名 ， 导 
出 数字 摘要 ， 并 对 电子 文件 原文 做 同样 Hash 算法 得 出 一 个 新 的 数字 摘要 ， 将 两 个 摘要 的 
Hash 值 进行 结果 比较 ， 相 同 签名 得 到 验证 ， 否 则 无 效 。 这 就 做 到 了 《电子 签名 法 》 中 所 要 
求 的 对 签名 不 能 改动 ， 对 签署 的 内 容 和 形式 也 不 能 改动 的 要 求 。 
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图 2.15 数字 签名 验证 过 程 
5. 数字 签名 的 作用 
如 果 接 收 方 对 发 送 方 数字 签名 验证 成 功 ， 就 可 以 说 明 以 下 3 个 实质 性 的 问题 。 
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(1) 该 电子 文件 确实 是 由 签名 者 即 发 送 方 所 发 出 的 ， 因 为 签署 时 电子 签名 数据 由 电子 
签名 人 所 控制 。 

(2) 被 签名 的 电子 文件 确实 是 经 发 送 方 签名 后 发 送 的 ， 说 明 发 送 方 用 了 自己 的 私 铀 做 
的 签名 ， 并 得 到 验证 。 

(3) 接收 方 收 到 的 电子 文件 在 传输 中 没有 被 算 改 ， 保 持 了 数据 的 完整 性 ， 因 为 签署 后 
对 电子 签名 的 任何 改动 都 能 够 被 发 现 。 

6. 原文 保密 的 数字 签名 的 实现 方法 


在 上 述 数 字 签名 原理 中 定义 的 是 对 原文 做 数字 摘要 和 签名 并 传输 原文 ， 在 很 多 场合 传 
输 的 原文 是 要 求 保密 的 ， 这 就 要 涉及 “数字 信封 ”的 概念 。 

数字 信封 的 功能 类 似 于 普通 信封 。 普 通信 封 在 法 律 的 约束 下 保证 只 有 收 信 人 才能 阅读 
信 的 内 容 ; 数字 信封 则 采用 密码 技术 保证 了 只 有 规定 的 接收 人 才能 阅读 信息 的 内 容 。 

数字 信封 中 采用 单 钥 密 码 体 制 和 公 钥 密码 体制 。 信 息 发 送 者 首先 利用 随机 产生 的 对 称 
密码 加 密 信息 ， 再 利用 接收 方 的 公 钥 加 密 对 称 密码 ， 被 公 钥 加 密 后 的 对 称 密码 称 为 数字 信 
封 。 在 传递 信息 时 ， 信 息 接收 方 要 解密 信息 时 ， 必 须 先 用 自己 的 私 钥 解密 数字 信封 ， 得 到 
对 称 密码 ， 才 能 利用 对 称 密 码 解 密 所 得 到 的 信息 。 这 样 就 保证 了 数据 传输 的 真实 性 和 完 
整 性 。 

数字 信封 是 信息 发 送 端 用 接收 端的 公 钥 , 将 一 个 通信 密 钥 (Symmentric Key) 加 密 后 ， 只 
有 指定 的 接收 端 才能 打开 信封 ， 取 得 秘密 密 钥 (SK)， 用 它 来 解 开 传送 来 的 信息 。 

签名 过 程 请 参照 图 2.16。 
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图 2.16 “数字 信封 ”处 理 过 程 


如 图 2.16 所 示 的 流程 是 一 个 典型 的 “数字 信封 ”处 理 过 程 。 其 基本 原理 是 将 原文 用 对 
称 密 钥 加 密 传 输 ， 而 将 对 称 密 钥 用 接收 方 公 钥 加 密 发 送 给 对 方 。 接 收 方 收 到 数字 信封 后 ， 
用 自己 的 私 钥 解密 信封 ， 取 出 对 称 密 钥 解密 得 到 原文 。 其 详细 过 程 如 下 : 

(1) 发 送 方 A 将 原文 信息 进行 Hash 运算 ， 得 一 Hash 值 即 数字 摘要 MD 。 

(2) 发 送 方 A 用 自己 的 私 铀 PVA, 采用 非 对 称 RSA 算法 , 对 数字 摘要 MD 进行 加 密 ， 
即 得 数字 签名 DS。 

(3) 发 送 方 A 用 对 称 算法 DES 的 对 称 密 钥 SK 对 原文 信息 、 数 字 签名 SD 及 发 送 方 A 


证 书 的 公 钥 PBA 采用 对 称 算 法 加 密 ， 得 加 密 信息 E。 

(4) 发 送 方 用 接收 方 B 的 公 钥 PBB, 采用 RSA 算法 对 对 称 密 钥 SK 加 密 ， 形成 数字 信 
封 DE， 就 好 像 将 对 称 密 钥 SK 装 到 了 一 个 用 接收 方 公 钥 加 密 的 信封 里 。 

(5) 发 送 方 A 将 加 密 信 息 E 和 数字 信封 DE 一 起 发 送 给 接收 方 B。 

(6) 接收 方 B 接收 到 数字 信封 DE 后 , 首先 用 自己 的 私 钥 PVB 解密 数字 信封 取出 对 
称 密 钥 SK。 

(7) 接收 方 B 用 对 称 密 钥 SK 通过 DES 算法 解密 加 密 信 息 E， 还 原 出 原文 信息 、 数 字 
签名 SD 及 发 送 方 A 证 书 的 公 钥 PBA。 

(8) 接收 方 B 验证 数字 签名 ， 先 用 发 送 方 A 的 公 钥 解 密 数 字 签 名 得 数字 摘要 MD'。 

(9) 接收 方 B 同时 将 原文 信息 用 同样 的 Hash 运算 ， 求 得 一 个 新 的 数字 摘要 MD。 

(10) 将 两 个 数字 摘要 MD 和 MD' 进 行 比较 ， 验 证 原文 是 否 被 自 改 。 如 果 二 者 相等 ， 说 
明 数 据 没 有 被 算 改 ， 是 保密 传输 的 ， 签 名 是 真实 的 ， 否 则 拒绝 该 签名 。 

这 样 就 做 到 了 敏感 信息 在 数字 签名 的 传输 中 不 被 算 改 ， 未 经 认证 和 授权 的 人 看 不 见 原 
数据 ， 从 而 在 数字 签名 传输 中 保护 了 敏感 数据 。 


2.4.4 ”认证 技术 的 实际 应 用 


认证 机 制 分 为 两 类 ， 即 简单 认证 机 制 和 强化 认证 机 制 。 简 单 的 认证 中 只 有 名 字 和 口令 
被 服务 系统 所 接受 。 由 于 明文 密码 在 网 上 传输 极 易 被 获取 ， 一 般 的 解决 办 法 是 使 用 一 次 性 
口令 (One-Time Password，OTP) 机 制 。 这 种 机 制 的 最 大 优势 是 不 必 在 网 上 传输 用 户 的 真实 
口令 ， 并 且 使 用 一 次 后 立即 失效 ， 可 以 有 效 防止 重复 攻击 (Replay Attack)。RADIUS 协议 就 
是 属于 这 种 类 型 的 认证 协议 ;强化 认证 机 制 一 般 将 运用 多 种 加 密 手段 来 保护 认证 过 程 中 相 
互 交换 的 信息 ， 其 中 ，Kerberos 协议 是 此 类 认证 协议 中 比较 完善 的 协议 ， 得 到 了 广泛 的 
应 用 。 

下 面 介 绍 几 种 常用 的 身份 认证 机 制 ， 并 分 析 它 们 的 安全 性 。 

1. RADIUS 认证 机 制 


RADIUS(Remote Authentication Dial In User Service) 协 议 最 初 是 由 Livingston 公司 提出 
的 ， 目 的 是 为 拨号 用 户 进行 认证 和 计 费 。 后 来 经 过 多 次 改进 ， 形 成 了 一 项 通用 的 认证 计 费 
协议 。 

RADIUS 是 一 种 客户 机 /服务 器 (C/S) 结 构 , 它 的 客户 端 最 初 就 是 NAS(Net Access Server) 
服务 器 ， 现 在 任何 运行 RADIUS 客户 端 软 件 的 计算 机 都 可 以 成 为 RADIUS 的 客户 端 。 
RADIUS 协议 认证 机 制 灵活 ， 可 以 采用 PAP、CHAP 或 者 UNIX 登录 认证 等 多 种 方式 。 

RADIUS 的 基本 工作 原理 是 用 户 接 入 NZS,NAS 向 RADIUS 服务 器 使 用 Access-Require 
数据 包 提交 用 户 信 息 ， 包 括 用 户 名 、 密 码 等 相关 信息 ， 其 中 用 户 密码 是 经 过 MD5 加 密 的 ， 
双方 使 用 共享 密 钥 ， 这 个 密 钥 不 经 过 网 络 传播 ; RADIUS 服务 器 对 用 户 名 和 密码 的 合法 性 
进行 检验 ， 也 可 以 对 NAS 进行 类 似 的 认证 ; 如果 合 法 ， 则 向 NAS 返回 Access-Accept 数据 
包 ， 人 允许 用 户 进 行 下 一 步 工作 ， 否 则 返回 Access-Reject 数据 包 ， 拒 绝 用 户 访问 ; 如果 允许 
访问 ，NAS 向 RADIUS 服务 器 提出 计 费 请 求 Account-Require，RADIUS 服务 器 响应 
Account-Accept， 对 用 户 的 计 费 开始 ， 同 时 用 户 可 以 进行 自己 的 相关 操作 。 
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RADIUS 服务 器 和 NAS 服务 器 通过 UDP 协议 进行 通信 , RADIUS 服务 器 的 1812 端口 
负责 认证 ，1813 端口 负责 计 费 。 采用 UDP 的 基本 考虑 是 因为 NAS 和 RADIUS 服务 器 大 多 
在 同一 个 局 域 网 中 ， 使 用 UDP 更 加 快捷 、 方 便 。 

RADIUS 协议 还 规定 了 重 传 机 制 。 如 果 NAS 向 某 个 RADIUS 服务 器 提交 请 求 没有 收 
到 返回 信息 ， 那 么 可 以 要 求 备份 RADIUS 服务 器 重 传 。 由 于 有 多 个 备份 RADIUS 服务 器 ， 
因此 NAS 进行 重 传 的 时 候 ， 可 以 采用 轮 询 的 方法 。 如 果 备份 RADIUS 服务 器 的 密 钥 和 以 
前 RADIUS 服务 器 的 密 钥 不 同 ， 则 需要 重新 进行 认证 。 

RADIUS 协议 应 用 范围 很 广 ， 包 括 普通 电话 、 上 网 业务 计 费 ， 对 VPN 的 支持 可 以 使 不 
同 的 拨 入 服务 器 的 用 户 具有 不 同 的 权限 。 


2. 基于 DCE/Kerberos 的 认证 机 制 


DCE/Kerberos 是 一 种 被 证 明 非 常安 全 的 双向 身份 认证 技术 。 该 认证 方法 强调 客户 机 对 
服务 器 的 认证 ; 而 其 他 产品 只 解决 了 服务 器 对 客户 机 的 认证 。 
DCE/Kerberos 的 身份 认证 的 形式 化 过 程 如 下 。 
1) 元素 说 明 
e 一 一 密 钥 。 
@ ”A 一 一 身份 认证 服务 器 。 
e CC 一 一 用 户 。 
@ ”PP 一 一 访问 授权 服务 器 。 
@ 
站 
@ 


PAC 一 一 访问 授权 服务 器 签发 的 授权 凭证 。 
S 一 一 应 用 服务 器 ， 如 Web 服务 器 、 数 据 库 服 务 器 等 。 
人 JR 一 用 尺 加 密 大 括号 中 的 内 容 。 
2) “实现 步 又 
(1) 用 户 C 从 身份 认证 服务 器 A 获得 通信 凭证 {K1，C}K。， 该 凭证 可 以 理解 为 由 身份 
认证 服务 器 签发 的 一 次 性 电子 身份 证 或 电子 护照 。 
C->A: C (明文 传输 c 的 名 字 ) 
C<-R: {K, {K, C}K} Ke 
(2) 用 户 C 使 用 第 一 步 得 到 的 凭证 {Ki, C}K。, 申请 访问 授权 服务 器 P 的 通信 和 凭证 {K， 
C}Kp， 该 凭证 可 以 理解 为 身份 认证 服务 器 为 用 户 签发 了 访问 授权 服务 器 的 电子 介绍 信 。 
C->A:{K, C}Ks, {C, MD-5 Checksum, timestamp}i 
C<-A: {Ka, {Ko CE} 
(3) 用 户 向 授权 服务 器 P 申请 授权 凭证 PAC。 授 权 服 务 器 根据 身份 认证 服务 器 签发 的 
电子 介绍 信 ， 为 该 用 户 签发 一 次 性 的 出 境 许 可 。 
C->P: { 瑟 ，C} 瑟 ， {C， MD-5 Checksum， timestamp} Ke 
C<-P: {Ks, {PAC, Ks}Ka}K 
(4) 用 户 申请 能 够 向 服务 器 S 证 实 自己 身份 ， 并 得 到 授权 许可 的 凭证 {PAC，Kas}K， 
该 凭证 可 以 理解 为 应 用 服务 器 为 该 用 户 签发 了 一 次 性 的 入 境 签 证 。 


C->A: {Ks, {PAC, Fs}Ka}K, {C, MD5 Checksum， Timestamp}Ks 


C<-A: {Ks, {PAC, Kl}K}Ks 


(5) 用 户 C 获得 与 应 用 服务 器 S 通信 的 密 钥 Ks, 该 密 钥 可 以 理解 为 应 用 服务 器 为 用 户 
签发 了 一 次 性 的 境内 通行 证 。 


C->S: {PAC, Kl}Ks, {C, MD-5 Checksum, Timestamp} Ks 
C<-S: {K5, Timestamp} Ks 


2.5 ”数字 证 书 应 用 实例 


数字 证 书 主要 应 用 于 各 种 需要 身份 认证 的 场合 ， 目 前 除 广泛 应 用 于 网 上 银行 、 网 上 交 


易 等 商务 应 用 外 ， 数 字 证 书 还 可 以 应 用 于 发 送 安全 电子 邮件 、 加 密 文件 等 方面 。 


2.5.1 获得 及 安装 免费 数字 证 书 


获得 免费 数字 证 书 的 方法 很 多 ， 目 前 国内 有 很 多 CA 中 心 提 供 试用 型 数字 证 书 ， 其 申 
请 过 程 在 网 上 即时 完成 ， 并 可 以 免费 使 用 。 下 面 提供 一 个 比较 好 的 站 点 ， 申 请 地 址 为 
http://www.itrus.com.cn/。 

【 例 2.1】 获得 免费 数字 证 书 的 方法 。 

(1) 登录 后 ， 单 击 【证 书 申请 】〗 按 钮 ， 选 择 【 试 用 型 个 人 数字 证 书 申请 〗， 注 意 只 有 
安装 了 根 证 书 (证 书 链 ) 的 计算 机 ,才能 完成 后 面 的 申请 步 又， 正常 用 户 在 CA 中 心 申请 数字 
证 书 。 

(2) 按照 提示 ， 通 过 地 址 http://www.itrus.com.cn/ 选 择 【 安 装 试用 CA 证 书 链 】 。 

(3) 安装 成 功 出 现 提 示 框 后 ， 可 以 看 到 一 个 用 户 注 册 表 单 。 按 照 表 单 上 的 提示 ， 输 入 
完整 的 个 人 资料 进行 用 户 注 册 。 

(4) 用 户 注 册 成 功 后 登录 ， 选 择 使 用 安全 证 书 ， 出 现 注册 国际 安全 电子 邮件 证 书 的 表 
单 ， 依 照 提 示 填 写 、 提 交 ， 进 行 上 述 步骤 后 ， 系 统 将 发 送 一 封 申请 成 功 的 信件 到 读者 申请 
时 使 用 的 邮箱 内 ， 其 中 包括 业务 受理 号 、 密 码 、 数 字 证 书 下 载 的 地 址 。 

(5) 单 击 数字 证 书 下 载 地 址 ， 填 写 业 务 受 理 号 和 密码 。 提 交 后 ， 可 以 看 到 “祝贺 你 ! 
你 的 数字 证 书 已 经 成 功 产生 并 安装 ”的 信息 ， 表 明 用 户 的 证 书 已 经 成 功 安装 。 


2.5.2 在 IE 中 查看 数字 证 书 


微软 的 浏览 器 自 带 一 个 数字 证 书 管理 器 ， 通 过 这 个 管理 器 可 以 查看 数字 证 书 。 

【 例 2.2】 通过 正 查看 数字 证 书 。 

(1) 首先 在 打开 的 Internet Explorer 中 ， 选 择 【 工 具 】〗|【Internet 选项 】 命 令 。 在 弹出 
的 对 话 框 中 选择 【内 容 】〗 选 项 卡 ， 单 击 【证 书 】〗 按 钮 来 查看 读者 信任 的 当前 证 书 的 列表 。 

(2) 切换 到 【个 人 ]】 选 项 卡 可 以 查看 已 经 申请 的 个 人 数字 证 书 ， 下 面 是 申请 的 免费 数 
字 证 书 ， 如 图 2.17 所 示 。 

(3) 选择 要 查看 的 个 人 数字 证 书 ， 然 后 单 击 【查看 〗 按 钮 ， 可 以 查看 证 书 的 详细 信息 。 
图 2.18 是 一 个 数字 证 书 的 详细 信息 列表 。 
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证 书 下 对 证 书 本 本 
的 思 : [5 有 > 可 党 规 。 译 旨 信息 | 证 书 路 径 | 
个 人 | 其 地 人 | 中 证 书 驮 机 构 | 过 信任 的 根 证 书 人 发 机 构 | 过 信任 的 发 行者 | SO 可 


1 重 [a 

Ch365 Bree Root ... 2007-5-28 E> EE3 v3 
iTruschina CH Co... 2008-7-28 E> 四 FS 14 c3 2a 43 Td 06 88 ec. 
Truschina Class -7-28” 筑 ; 园 签 名 算法 ma5RSA 

园 全 发 者 iTruschina Class 1 Cons, 

| 有效 终止 日 期 2006 年 7 月 28 日 7:59:59 
园 合 用 者 eq 有 as 而 126. com，wang wu. 国 
lan ceaoos ns 


5 月 28 日 8:00:00 
MV. | 咒 国 -| _ 喇 四 RO 
证 和 有 的 
有 >》 
[ee 直属 性 四，| 复制 5 文件 忆 
图 2.17 免费 数字 证 书 图 2.18 数字 证 书 的 详细 信息 列表 
下 面 是 在 数字 证 书 中 所 包含 的 常见 元 素 。 


e@ 版 本 : 用 来 区 别 X.509 的 各 种 连续 的 版 本 。 
@ 序列 号 : 序列 号 是 一 个 整数 值 ， 在 发 行 的 证 书 颁发 机 构 中 是 唯一 的 。 序 列 号 与 证 

书 有 明确 联系 ， 就 像 身份 证 号 码 和 公民 日 常 登记 有 明确 联系 一 样 。 

e@ ”签名 算法 : 用 于 识别 证 书 颁发 机 构 签署 证 书 的 算法 。 证 书 颁发 机 构 使 用 它 的 私 铀 
对 每 个 证 书 进行 签名 。 

颁发 者 : 颁发 者 是 创建 这 个 证 书 的 机 构 。 

有 效 起 始 日 期 和 有 效 终止 日 期 : 证书 有 效 的 起 止 日 期 ， 类 似 于 信用 卡 的 期 限 。 
使 用 者 : 证 书 进行 身份 验证 的 主体 对 象 。 

公 钥 : 为 证 书 识别 的 主体 提供 公 钥 和 签名 算法 。 

签名 : 证 书签 名 覆盖 了 证 书 的 所 有 其 他 字段 。 签名 是 其 他 字段 的 Hash 代码 , 使 用 
证 书 颁 发 机 构 的 私 钥 进行 加 密 ， 保 证 整个 证 书 中 信息 的 完整 性 。 如 果 有 人 使 用 了 
证 书 颁发 机 构 的 公 钥 来 解密 这 个 Hash 代码 ， 同 时 计算 了 证 书 的 Hash 代码 ， 而 两 
者 并 不 相同 ， 那 么 证 书 的 某 一 部 分 就 肯定 被 非法 算 改 了 。 

有 了 数字 证 书 以 后 ， 可 以 发 送 加 密 和 签名 电子 邮件 ， 还 可 以 应 用 于 公众 网 络 上 的 商务 
活动 和 行政 活动 ， 应 用 范围 涉及 需要 身份 认证 及 数据 安全 的 各 个 行业 ， 如 访问 安全 站 点 、 
网 上 招标 投标 、 网 上 签约 、 网 上 订购 、 安 全 网 上 公文 传送 、 网 上 办 公 、 网 上 缴费 、 网 上 缴 
税 、 网 上 购物 等 网 上 的 安全 电子 事务 处 理 和 安全 电子 交易 活动 等 。 随 着 电子 商务 和 电子 政 
务 的 不 断 发 展 ， 数 字 证 书 的 颁发 机 构 CA 中 心 将 作为 一 种 基础 设施 为 电子 商务 的 发 展 提供 
可 靠 的 保障 。 所 以 ， 网 络 发 展 得 越 快 ， 人 们 对 网 络 安全 的 要 求 也 就 越 高 ， 了 解数 字 证 书 并 
学 会 一 些 数字 证 书 的 操作 将 有 利于 更 加 安全 地 在 网 上 冲浪 。 


2.5.3 ”发 送 安 全 邮件 
数字 证 书 最 常见 的 应 用 就 是 发 送 安全 邮件 ， 即 利用 安全 邮件 数字 证 书 对 电子 邮件 签名 


@_ 
算 和 加 密 ， 这 样 既 能 保证 发 送 的 签名 邮件 不 会 被 算 改 ， 又 使 外 人 无 法 阅读 加 密 邮 件 的 内 容 。 
机 | 下 面 以 Outlook 2000 为 例 介 绍 安全 发 送 邮件 的 方法 。 


网 
络 1. 邮件 账号 与 数字 证 书 绑 定 
全 【 例 2.3】 将 邮件 账号 与 数字 证 书 绑 定 。 


安 (1) 启动 Outlook 2000， 选 择 【 工 具 】〗|【 选 项 】 命 令 ， 在 弹出 的 对 话 框 中 选择 【安全 】 
“| 选项 卡 ， 单 击 【 设 置 安全 电子 邮件 〗 按 钮 ， 打 开 【 更 改 安 全 性 设置 〗 对 话 框 ， 如 图 2.19 
所 示 。 

(2) 输入 安全 设置 名 称 safe1， 选 中 【该 安全 邮件 格式 的 默认 安全 性 设置 】〗 复 选 框 ， 单 
击 【 选 择 】 按 钮 为 账户 绑 定 一 个 数字 证 书 。 

(3) 单 击 【 确 定 】〗 按 钮 退出 。 以 后 发 送 数字 签名 邮件 时 ， 将 使 用 该 证 书 进 行 签名 。 


安全 设置 名 称 名) : [afer = 
安全 邮件 格式 中) : 


sm 二 
厅 该 安全 邮件 格式 的 默认 安全 性 设置 江 ) 
克 所 有 安全 邮件 的 默认 安全 性 设置 咽 ) 


新 建 0 | 删除 q) | 密码 Ey | 
证 书 和 算法 
签名 证 书 ; Feew 过 择 cy.. | 
签名 算法 4) ; SHA1 二 
加 密 证 书 : Fam [socal 


加 密 算 法 QL); apEs = 
厅 将 证 书 与 签名 的 邮件 一 同 发 送 EE) 


Ew | 


图 2.19 更 改 安全 设置 

2. 发 送 带 数字 签名 的 邮件 

【 例 2.4】 发 送 带 数字 签名 的 邮件 。 

(1) 启动 Outlook 2000， 单 击 工具 栏 中 的 【新 建 〗 按 钮 进入 写 邮 件 窗口 ， 开 始 撰 写 一 
封 新 邮件 。 填 上 发 件 人 、 收 件 人 、 标 题 ， 写 好 信 。 

(2) 单 击 工具 栏 上 的 【选项 】 按 钮 ， 打 开 【 邮 件 选项 】 对 话 框 ， 如 图 2.20 所 示 ， 选 中 
【给 待 发 邮件 添加 数字 签名 】 复 选 框 。 

(3) 单 击 【 发 送 】 按 钮 即 可 。 

当 对 方 收 到 并 打开 该 邮件 时 ， 将 看 到 【数字 签名 邮件 】 的 提示 信息 ， 在 邮件 内 容 窗口 
的 右边 ， 有 个 红色 的 【数字 签名 〗 图 标 ， 单 击 该 图 标 就 可 看 到 数字 签名 信息 ， 由 此 便 可 确 
认 该 邮件 是 谁 发 出 的 并 且 中 途 没 有 被 签 改 过 。 

3. 发 送 加 密 邮件 


必须 首先 获得 对 方 的 公 钥 ， 然 后 才能 给 他 发 加 密 邮 件 。 

1) ”获得 对 方 公 钥 的 方法 

可 以 让 收 件 人 先 发 送 一 份 签 名 邮件 来 获取 对 方 的 公 钥 ， 或 者 直接 到 对 方 注 册 的 安全 认 
证 中 心 的 网 站 上 查询 并 下 载 对 方 的 公 钥 。 
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邮件 选项 Tx| 


安全 性 
他 二 | 人 司 下 厂 将 邮件 内 容 和 附件 加 密 里 ) 
2 FE ” 习 BR GE 


CE 人 厂 使 用 投票 按钮 WD ; z 
厂 请 在 送 达 此 邮件 后 给 出 “ 送 达 ” 回 执 @) 


厂 请 在 阅读 此 邮件 后 给 出 “已 读 ”回执 人 @) 


图 2.20 为 邮件 添加 数字 签名 


2) ”创建 邮件 并 发 送 

加 密 邮 件 的 发 送 方法 ， 与 以 上 发 送 签名 邮件 的 方法 类 似 ， 不 过 当 单 击 【 安 全 设置 】 按 
钮 和 时， 在 【安全 属性 】 窗 口中 要 选中 【加 密 邮件 内 容 和 附件 】 复 选 框 。 

【 例 2.5】 备份 你 的 证 书 及 私 钥 。 

(1) 打开 下 窗口 , 选择 【工具 】|【Intemet 选项】 命令 ,打开 【Intemet 选项 】 对 话 框 ， 
切换 到 【内 容 〗 选 项 卡 ， 单 击 【 证 书 〗 按 钮 . 

(2) 在 弹出 的 【证 书 〗 对 话 框 中 选择 需要 备份 的 证 书 ， 单 击 【 导 出 〗 按 钮 ， 如 图 2.21 
所 示 。 


证 书 X 
预期 目的 ) 所 有 > > 
个 人 J enet em eee te 


入 四 | St®... | We | 高 胃 
证 的 预 类 目的 
《所有 > 
查看 中 
关闭 局 
图 2.21 导出 证 书 


(3) 进入 【证 书 导 出 向 导 】〗 对 话 框 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 2.22 所 示 。 
(4) 如 果 想 要 保存 自己 的 私 钥 信息 , 请 选中 【是 , 导出 私 钥 】 单 选 按钮 ， 如 图 2.23 所 示 。 
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图 2.22 证书 导 出 向 导 第 一 步 


证 书 导出 向 导 


导出 改 钥 
您 可 以 选择 将 私 钥 跟 证 书 一 起 导出 。 


各 护 。 扣 果 要 要 让 所 一 起 对 出 ， 候 必须 在 后面 一 页 上 刍 入 容 
要 格 私 钥 限 汪 书 一 起 导出 吧 ? 

6 中 要 四 和 二 

个 不 ,不 要 导出 私 角 0) 


《上 一 步 四 ) 取消 


图 2.23 证书 导 出 向 导 第 二 步 一 一 导出 私 钥 
(5) 单 击 【下 一 步 〗 按 钮 ， 选 择 导出 文件 的 格式 ， 如 图 2.24 所 示 。 


FEEETTTCI 
导出 文件 格式 
可 以 用 不 同 的 文件 格式 导出 证 书 。 


| 


选择 要 使 用 的 格式 
FE 
CF 


人 还 人 信息 交 骇 PITS #2( PFX) 芋 ) 
厂 如 果 可 能 ， 包 括 证 书 路 径 中 所 有 证 书 WD 
伙 启用 加 强 保护 醒 求 IE 5.0，MNT 4.0 SP4 或 更 高 版 本 ) 到) 


厂 加 果 导 出 成 功 , 删除 密 钥 EE) 


-sw [Fm 


图 2.24 ”证 书 导出 向 导 第 三 步 


选择 导出 文件 的 格式 


(6) 单 击 【 下 一 步 〗 按 钮 ,设置 私 钥 保 护 密码 ， 谨 慎 保 护 此 密码 ， 只 用 拥有 此 密码 才 
可 以 使 用 导出 的 私 钥 文 件 ， 如 图 2.25 所 示 。 
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密码 
要 保证 安全 ,您 必须 用 密码 保护 秘 钥 。 


“+- 步 [T= 步 加 >| 了 滑 


图 2.25 导出 证 书 向 导 第 四 步 一 一 设置 私 钥 保 护 密码 


(7) 单 击 【下 一 步 〗 按 钮 ， 指 定 导出 文件 名 及 存放 路 径 ， 单 击 【 下 一 步 〗 按 钮 。 建 议 


将 私 钥 备 份 到 可 移动 的 存储 设备 中 ， 如 丁 盘 等 ， 如 图 2.26 所 示 。 


" 
要 导出 的 文件 
指定 要 导出 的 文件 和 名， 


文件 名 全 : 
pve 


《上 - 步 @ [Ff 一 步 加 >】 取消 


图 2.26 导出 证 书 向 导 第 五 步 一 一 指定 导出 文件 名 
(8) 单 击 【完成 】 按 钮 ， 如 图 2.27 所 示 。 

证 书 导 出 向 导 | 
正在 完成 证 书 导出 向 导 


您 已 成 功 地 完成 证 书 导出 向 导 。 
您 已 指定 下 列 设置 : 


包括 证 书 路 径 中 所 有 证 书香 
文件 格式 个 人 信息 交换 @_pfx) 


到 


ww | 
图 2.27 导出 证 书 向 导 第 六 步 一 完成 
【 例 2.6】 证 书 和 私 钥 的 恢复 . 


(1) 打开 下 窗口 , 选择 【工具 】|【Internet 选 项】 命令, 打开 【Intemet 选 项】 对 话 框 ， 


FP 


选择 【内 容 】〗 选 项 卡 ， 单 击 【证 书 】 按 钮 . 
(2) 单 击 【 导 入 】 按 钮 ， 进 入 证 书 导入 界面 ， 如 图 2.28 所 示 。 


ES 


几 半 外 二 慌 豆 兰 凑 王 


图 2.28 ”证书 导入 界面 
(3) 选择 需要 导入 证 书 的 存放 路 径 ， 如 图 2.29 所 示 。 


EECB 


图 2.29 选择 证 书 的 存放 路 径 
(4) 输入 密 钥 的 保护 密码 ， 如 图 2.30 所 示 。 


图 2.30 输入 密 钥 的 保护 密码 
(5) 指定 证 书 的 存放 位 置 ， 如 图 2.31 所 示 。 
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于 
证 书 存储 
证 书 存储 是 保存 证 书 的 系统 区 域 。 


Yindows 可 以 自动 选择 证 书 存储 ,或 者 您 可 以 为 证 书 指定 一 个 位 置 。 


图 2.31 指定 证 书 的 存放 位 置 
(6) 单 击 【 完 成 〗 按 钮 ， 结 束 密 钥 的 导入 ， 如 图 2.32 所 示 。 


证 书 导入 向 导 可 
正在 完成 证 书 导 入 向 导 
您 已 成 功 地 完成 证 世 导 入 向 导 。 
您 已 指定 下 列 设置 


mw | 


2.32 ”结束 密 钥 的 导入 


2.5.4 检查 Windows 是 否 为 微软 正版 


如 果 想 知道 自己 的 Windows 是 否 为 微软 正版 软件 ， 只 要 验证 其 核心 文件 是 否 被 替换 过 
即 可 ， 那 么 如 何 知 道 核心 文件 是 否 替 换 过 呢 ? 可 以 使 用 工具 来 检查 这 些 文件 的 数字 签名 ， 
Windows 2000/ XP /中 有 “文件 签名 验证 ”工具 , Windows 9X 则 提供 了 “系统 文件 检查 器 ”， 
使 用 这 些 工 具 可 以 知道 系统 文件 的 数字 签名 状态 ， 假 如 它们 都 经 过 了 数字 签名 ， 则 说 明 
Windows 未 被 算 改 过 、 是 微软 原版 的 ， 下 面 以 Windows Server 2003 为 例 介 绍 验证 的 方法 。 

【 例 2.7】 检查 Windows 是 否 为 微软 正版 。 

(1) 选择 【开始 】|【 运 行 】 命 令 ， 打 开 【 运 行 】 对 话 框 ， 输 入 sigverif， 打 开 【 文 件 签 
名 验证 〗】 对 话 框 。 

(2) 单 击 【 开 始 〗】 按 钮 检查 每 个 系统 文件 的 数字 签名 ， 过 一 会 儿 将 打开 一 个 对 话 框 ， 
如 图 2.33 所 示 , 列 出 所 有 未 经 过 数字 签名 的 文件 , 如 果 发 现 列 表 中 有 winlogon.exe、 licdll.dll 
这 两 个 文件 ， 那 么 Windows 就 被 纂 改过 了 ， 否 则 即 为 微软 正版 的 。 


计 
算 EE3EETEE3 吉 冯 
机 下 弄 文 件 未 经 过 数字 签名 : 
网 本 EE PEE | 
络 apedll le- Wwindows\sys ”2003-4-3 。 应 用 各 5 2.3790.0 
本 这 pideen al eveindowsvsys 2003-4-3 ”应 用 程 5.2.3790.0 
人 4 We rt1B029. sys c:\windows\sys, 2000-8-3 SIS 文件 5.508.803.2000 
筷 国 sentinel .ec: windorsvsys 1996-3-31 。 系统 文件 0.5.0.34 
全 

[Ez 二 


股 现 的 文件 ，3518 个 。 已 签名 的 文件 :2629 个 。 未 签名 的 文件 :4 个 。 没 有 扫 巡 的 文 


图 2.33 签名 验证 结果 


复习 思考 题 二 
一 、 填 空 题 
1. 需要 隐藏 的 消息 叫 作 。 明 文 被 变换 成 另 一 种 隐藏 形式 被 称 为 。 这 
种 变换 叫 作 
2. 加 密 算法 和 解密 算法 通常 是 在 控制 下 进行 的 ， 加 密 算 法 所 采用 的 密 钥 称 
为 ， 解 密 算法 所 使 用 的 密 钢 叫 作  。 
3. 传统 的 加 密 方法 可 以 分 成 替代 密码 与 换 位 密码 两 类 。 
4. 密 铀 长 度 一 般 是 以 为 单位 ， 也 有 以 为 单位 的 ， 密 钥 的 长 度 对 密 铀 的 
有 直接 的 影响 。 
5. 密 钥 保护 技术 涉及 密 钥 的 、 使 有 用、 更换、 销毁 等 多 个 
方面 。 
6. 数字 证 书 通常 分 为 有 和 软件 证 书 。 
7. 数字 时 间 惟 服务 是 网 上 电子 商务 安全 服务 项 目 之 一 ， 能 提供 的 日 期 和 时 间 
信息 的 安全 保护 。 
8. 认证 技术 一 般 可 以 分 为 和 两 种 。 
9. 认证 技术 主要 解决 网 络 通信 过 程 中 通信 双方 的 认可 。 
二 、 选 择 题 
1. 为 了 确定 信息 在 网 络 传输 过 程 中 是 否 被 他 人 签 改 ， 一 般 采 用 的 技术 是 (  )。 
A. 防火 墙 技术 ”B. 数据 库 技术  C. 消息 认证 技术 D. 文件 交换 技术 


2. KDC 分 发 密 钥 时 ,进行 通信 的 两 台 主 机 都 需要 向 人 DC 申请 会 话 密 钥 .主机 与 KDC 
通信 时 使 用 的 是 ( )。 
A. 会 话 密 钥 B. 公开 密 钥 C. 二 者 共享 的 永久 密 钥 ”DD. 临时 密 铀 
3.， 用 户 A 从 CA 得 到 了 用 户 B 的 数字 证 书 , 用 户 A 可 以 从 该 数字 证 书 中 得 到 用 户 B 
的 (  )。 
A. 私 钥 B. 数字 签名 C. 口令 D. 公投 
4. 计算 机 网 络 系统 中 广泛 使 用 的 DES 算法 属于 (。 )。 
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A. 不 对 称 加 密 。 B. 对 称 加 密 C. 不 可 逆 加 密 。 D. 公开 密 钥 加 密 
在 公 钥 密码 体制 中 ， 用 于 加 密 的 密 钥 为 ( 

A. 公 和 铀 B. 私 钥 C. 公 负 与 私 钥 ”DD. 公 钥 或 私 钥 

PKI 是 指 (  ) 

A. 公共 密 钥 基础 结构 B. Public Key Infrastructure C. 上 述 都 对 
证 书 颁发 机 构 CA 的 功能 包括 ( 。 “)。 

A. 颁发 证 书 B. 吊销 证 书 

C. 发 布 证 书 吊销 列表 CRL D. 上 述 都 对 

在 Windows 中 ， 可 以 为 下 列 ( ”) 组 件 申请 证 书 。 

A. 计算 机 B. 服务 C. 用 户 D. 上 述 都 对 


三 、 简 答题 


ORF 人 DODO- 


. 简 述 密码 学 的 概念 。 

. 简 述 加 密 、 解 密 的 过 程 。 

. 什么 是 对 称 密 钥 加 密 ? 

. 什么 是 公开 密 钥 加 密 ? 

. 数字 签名 有 哪 几 种 实现 方法 ? 

. 数字 时 间 惟 的 用 途 是 什么 ? 

. 简 述 报 文摘 要 技术 的 实现 过 程 。 

. 简 述 基于 3 种 基本 途径 的 身份 认证 技术 的 特点 及 用 途 。 


9. 信息 认证 技术 的 用 途 是 什么 ? 
10. 如 何 发 送 安全 的 电子 邮件 ? 
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学 习 目标 

网 络 操作 系统 是 用 于 管理 计算 机 网 络 中 的 各 种 软 、 硬 件 资源 ， 实 现 资源 共享 ， 并 为 整 
个 网 络 中 的 用 户 提供 服务 ， 保 证 网 络 系统 正常 运行 的 一 种 系统 软件 。 如 何 确保 网 络 操作 系 
统 的 安全 ， 是 网 络 安全 的 根本 所 在 ， 只 有 网 络 操作 系统 安全 、 可 靠 ， 才 能 保证 整个 网 络 的 
安全 。 因 此 ， 详 细 分 析 系统 的 安全 机 制 ， 找 出 它 可 能 存在 的 安全 隐患 ， 给 出 相应 的 安全 策 
略 和 保护 措施 是 十 分 必要 的 。 本 章 主 要 系统 学 习 : 操作 系统 漏洞 的 概念 ; Windows 操作 系 
统 中 的 漏洞 及 其 解决 方法 ; Linux 操作 系统 中 的 漏洞 及 其 解决 方法 。 通过 本 章 的 学 习 , 读者 
应 掌握 以 下 内 容 : 

@ 掌握 漏洞 的 概念 及 其 对 操作 系统 的 影响 ; Windows 操作 系统 中 的 漏洞 及 其 解决 

@ 了 解 Linux 操作 系统 中 的 漏洞 及 其 解决 方法 。 


3.1 操作 系统 的 漏洞 


一 般 来 说 ， 计 算 机 网 络 系统 的 安全 威胁 主要 来 自 黑客 攻击 和 计算 机 病毒 两 个 方面 。 那 
么 黑客 攻击 为 什么 能 够 经 常 得 偿 呢 ?主要 原因 是 很 多 人 , 尤其 是 很 多 网 络 管理 员 没 有 起 码 的 
网 络 安全 防范 意识 ， 未 能 针对 所 用 的 网 络 操作 系统 采取 有 效 的 安全 策略 和 安全 机 制 ， 从 而 
给 黑客 以 可 乘 之 机 。 因 此 要 更 好 地 保证 网 络 安全 ， 第 一 步 就 是 确保 操作 系统 的 安全 。 

操作 系统 的 选择 是 关键 的 一 步 ， 根 据 用 户 的 要 求 不 同 ， 选 择 也 有 所 不 同 ， 整 体 上 可 以 
分 为 两 种 类 型 : 第 一 种 是 选用 Windows 2000、Windows XP 或 者 Windows Server 2003 的 用 
户 ， 第 二 种 是 使 用 Linux 操作 系统 的 用 户 。 

从 安全 的 角度 来 说 ， 各 种 操作 系统 不 可 能 百分之百 的 无 缺陷 、 无 漏洞 。 另 外 ， 编 程 人 
员 为 自己 使 用 方便 而 在 软件 中 留 有 “后 门 ”， 一 旦 “漏洞 ”及 “后 门 ” 为 外 人 所 知 ， 就 会 
成 为 整个 网 络 系统 受 攻击 的 首选 目标 和 薄弱 环节 。 据 调查 显示 ， 网 络 安全 的 威胁 大 多 数 情 
况 下 仍 来 自 于 黑客 和 病毒 专家 对 操作 系统 漏洞 的 利用 。 


3.1.1 系统 漏洞 的 概念 


在 计算 机 网 络 安全 领域 中 ，“ 漏 洞 ” 是 指 硬件 、 软 件 或 策略 上 的 缺陷 ， 这 种 缺陷 导致 
非法 用 户 未 经 授权 而 获得 访问 系统 的 权限 或 增加 其 访问 权限 。 有 了 这 种 访问 权限 ， 非 法 用 
户 就 可 以 为 所 欲 为 ， 从 而 造成 对 网 络 安全 的 威胁 。 其 实 ， 每 个 平台 无 论 是 硬件 还 是 软件 都 
存在 漏洞 。 漏 洞 与 后 门 是 不 同 的 ， 漏 洞 是 难以 预知 的 ， 后 门 则 是 人 为 故意 设置 的 。 后 门 是 
软 、 硬 件 制造 者 为 了 进行 非 授权 访问 而 在 程序 中 故意 设置 的 万 能 访问 口令 ， 这 些 口 令 无 论 
是 被 攻破 ， 还 是 只 掌握 在 制造 者 手中 ， 都 对 使 用 者 的 系统 安全 构成 了 严重 的 威胁 。 

系统 漏洞 又 称 安全 缺陷 ， 是 某 个 程序 (包括 操作 系统 ) 在 设计 时 未 考虑 周全 ， 当 程序 遇 
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到 一 个 看 似 合理 ， 但 实际 无 法 处 理 的 问题 时 ， 引 发 的 不 可 预见 的 错误 。 系 统 漏洞 对 用 户 造 
成 的 不 良 后 果 如 下 。 

漏洞 被 恶意 用 户 利用 ， 会 造成 信息 泄露 ， 如 黑客 攻击 网 站 就 是 利用 网 络 服务 器 操作 系 
统 的 漏洞 。 对 用 户 操作 造成 不 便 ， 如 不 明 原因 的 死机 和 丢失 文件 等 。 只 有 堵 住 系统 漏洞 ， 
用 户 才 会 有 一 个 安全 和 稳定 的 工作 环境 。 

系统 漏洞 的 产生 原因 大 致 有 3 个 。 

(1) 在 程序 编写 过 程 中 ， 编 程 人 员 为 了 达到 不 可 告 人 的 目的 ， 有 意 地 在 程序 的 隐蔽 处 
留 下 各 种 各 样 的 后 门 ， 供 日 后 使 用 。 随 着 法 律 的 完善 ， 这 类 漏洞 将 越 来 越 少 (别有用心 的 除 
外 )。 

(2) 由 于 编程 人 员 的 水 平 问题 ， 以 及 经 验 和 当时 安全 技术 加 密 方法 所 限 ， 在 程序 中 总 
会 或 多 或 少 地 存在 不 足 之 处 ， 这 些 地 方 有 的 影响 程序 的 效率 ， 有 的 会 导致 非 授 权 用 户 的 权 
力 加 大 提升 。 安 全 与 不 安全 从 来 都 是 相对 的 。 

(3) 由 于 硬件 原因 ， 使 编程 人 员 无 法 弥补 其 漏洞 ， 从 而 使 硬件 的 问题 通过 软件 表现 
出 来 。 

漏洞 问题 是 与 时 间 紧 密 相 关 的 。 一 个 系统 从 发 布 的 那 一 天 起 ， 随 着 用 户 的 深入 使 用 ， 
系统 中 存在 的 漏洞 会 被 不 断 暴露 出 来 ， 一 些 早 先 被 发 现 的 漏洞 会 不 断 被 系统 供应 商 发 布 的 
补丁 软件 修补 ， 或 在 以 后 发 布 的 新 版 系统 中 得 以 纠正 。 而 在 新 版 系统 纠正 了 旧版 本 中 具有 
漏洞 的 同时 ， 也 会 引入 一 些 新 的 漏洞 和 错误 ， 因 而 随 着 时 间 的 推移 ， 旧 的 漏洞 会 不 断 消失 ， 
新 的 漏洞 会 不 断 出 现 ， 漏 洞 问题 也 就 会 长 期 存在 。 

脱离 具体 的 时 间 和 具体 的 系统 环境 来 讨论 漏洞 问题 是 毫 无 意义 的 。 要 针对 目标 系统 的 
操作 系统 版 本 及 在 其 上 运行 的 软件 版 本 以 及 服务 运行 设置 等 实际 环境 来 具体 谈论 其 中 可 能 
存在 的 漏洞 及 其 可 行 的 解决 办 法 。 

同时 ， 对 漏洞 问题 的 研究 必须 要 跟踪 当前 最 新 的 计算 机 系统 及 其 安全 问题 的 最 新 发 展 
动态 。 这 一 点 与 对 计算 机 病毒 发 展 问题 的 研究 相似 。 如 果 不 能 保持 对 新 技术 的 跟踪 ， 就 没 
有 谈论 系统 安全 漏洞 问题 的 发 言 权 ， 以 前 所 做 的 工作 也 会 逐渐 失去 价值 。 


3.1.2 ”漏洞 的 类 型 


安全 漏洞 存在 不 同 的 类 型 ， 包 括 允 许 拒绝 服务 的 漏洞 、 缓 冲 区 溢出 漏洞 、 允 许 有 限 权 
限 的 本 地 用 户 未 经 授权 加 大 其 权限 的 漏洞 和 允许 外 来 团体 (在 远程 主机 上 ) 未 经 授权 访问 网 
络 的 漏洞 。 


1. 允许 拒绝 服务 的 漏洞 


允许 拒绝 服务 的 漏洞 可 能 导致 拒绝 服务 发 生 。“ 拒 绝 服务 ”是 一 种 常见 的 恶作剧 式 的 
攻击 方式 ， 它 使 服务 器 忙于 处 理 一 些 繁杂 的 任务 ， 从 而 消耗 大 量 的 处 理 时 间 ， 而 无 暇 顾及 
用 户 的 合法 请 求 。 

允许 拒绝 访问 的 漏洞 属于 C 类 ， 是 不 太 严 重 的 漏洞 。 对 于 大 规模 的 网 络 或 站 点 ， 拒 绝 
服务 及 其 攻击 造成 的 影响 是 有 限 的 ， 然 而 对 于 小 规模 的 站 点 ， 可 能 会 遭 到 拒绝 服务 导致 的 
重创 ， 特 别 是 对 于 站 点 只 是 一 台 单独 的 计算 机 更 是 如 此 。 这 类 漏洞 存在 于 操作 系统 网 络 传 
送 本 身 ， 是 操作 系统 软件 本 身 存 在 的 漏洞 。 当 存在 这 种 漏洞 时 ， 必 须 通过 软件 开发 者 或 销 
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售 商 的 弥补 予以 纠正 。 

拒绝 服务 攻击 是 一 个 人 或 多 个 人 利用 Intemet 协议 组 的 某 些 方面 拒绝 其 他 用 户 对 系统 
或 信息 进行 合法 访问 的 攻击 。 在 TCPSYN 攻击 中 ， 大 量 连接 请 求 传 给 服务 器 ， 导 致 其 请 求 
信息 被 淹没 ， 致 使 服务 器 反应 很 慢 或 信息 不 能 到 达 ， 从 而 使 用 户 无 法 正常 工作 。 

另外 还 有 其 他 形式 的 拒绝 服务 的 攻击 ， 如 某 些 拒绝 服务 攻击 的 实现 可 以 针对 个 人 而 不 
是 针对 网 络 用 户 的 这 种 类 型 的 攻击 不 涉及 任何 漏洞 ， 而 是 利用 了 Web 的 基本 设计 。 

并 不 是 每 个 拒绝 服务 攻击 都 需要 在 Intemet 上 发 起 , 拒绝 服务 攻击 也 可 以 在 本 地 机 甚至 
在 没有 网 络 环境 的 情况 下 发 生 。 

2. 缓冲 区 溢出 漏洞 

当 向 数组 中 写 入 一 个 字符 串 ， 并 且 越过 数组 边界 的 时 候 ， 就 会 发 生 缓 冲 区 溢出 。 下 列 
缓冲 区 滋 出 的 情况 ， 可 能 会 引起 安全 问题 。 

(1) 读 操 作 直 接 输 入 到 缓冲 区 。 

(2) 从 一 个 大 的 缓冲 区 复制 到 一 个 小 的 缓冲 区 。 

(3) 对 输入 的 缓冲 区 做 其 他 的 操作 。 

如 果 输 入 是 可 信 的 ， 则 不 会 成 为 安全 漏洞 ， 但 它 也 会 成 为 潜在 的 安全 隐患 。 这 个 问题 
在 大 部 分 的 UNIX 环境 中 很 突出 。 如 果 数组 是 一 些 函数 的 局 部 变量 ， 那 么 它 的 返回 地 址 很 
有 可 能 就 在 这 些 局 部 变量 的 堆栈 中 ， 这 样 就 使 得 实现 这 种 漏洞 变 得 十 分 容易 ， 在 过 去 的 几 
年 中 ， 有 无 数 漏洞 是 由 此 造成 的 ， 有 时 甚至 在 其 他 地 方 的 缓冲 区 都 会 产生 安全 漏洞 ， 尤 其 
是 在 函数 指针 附近 的 时 候 。 


3. 允许 有 权限 的 本 地 用 户 未 经 授权 增加 其 权限 的 漏洞 


这 是 一 种 允许 本 地 用 户 非法 访问 的 漏洞 ， 属 B 类 。 这 类 漏洞 危险 性 很 大 ， 人 允许 本 地 用 
户 非法 访问 的 漏洞 所 产生 的 影响 是 巨大 的 。 例 如 ，Sendmail 这 类 程序 中 的 漏洞 特别 值得 重 
视 ， 因 为 网 络 上 所 有 的 用 户 都 有 使 用 这 个 程序 的 基本 权限 ， 否 则 用 户 将 无 法 发 送 邮件 。 
此 Sendmail 中 的 任何 漏洞 都 是 十 分 危险 的 。 

允许 本 地 用 户 非法 访问 的 漏洞 一 般 在 多 种 平台 的 应 用 程序 中 均 有 存在 ， 它 们 由 应 用 程 
序 中 的 一 些 缺 陷 引 起 。 有 些 常见 的 编程 错误 导致 了 这 种 漏洞 的 产生 。 

Sendmail 是 Linux 操作 系统 中 发 送 电子 邮件 最 盛行 的 方法 ， 是 Intemet 上 E-mail 系统 
的 中 心 。 这 个 程序 一 般 在 启动 时 初始 化 ， 并 且 只 要 机 器 可 用 它 便 可 用 。 在 其 处 于 活动 状态 
时 ，Sendmail( 在 端口 25) 侦 听 网 络 空间 上 的 发 送 和 请 求 。 因 为 只 有 root 有 权 启 动 和 维护 
Sendmail 程序 ， 所 以 当 其 他 有 相同 权限 的 用 户 要 启动 Sendmail 的 时 候 ， 一 般 要 检验 用 户 的 
身份 。 然 而 由 于 一 个 代码 错误 ，Sendmail 在 例 程 模式 下 可 以 以 一 种 绕 过 潜入 的 方式 激活 。 
当 绕 过 检查 后 , 任何 本 地 用 户 都 可 以 在 例 程 下 启动 Sendmail。 另外 , 在 8.7 版 本 中 , Sendmail 
收 到 一 个 Signup 信和 号 时 会 重启 ， 此 时 调用 exec(2) 使 Sendmail 重新 开始 操作 ( 非 root 启动 的 
Sendmail); 这 次 重新 操作 被 系统 认为 是 由 root 引发 的 ， 即 这 次 调用 使 Sendmail 具有 了 超级 
权限 ， 所 以 入 侵 者 利用 这 个 漏洞 非法 获得 了 超级 用 户 权 限 ， 继 而 对 系统 实施 攻击 。 

权限 有 限 的 本 地 用 户 在 未 经 授权 的 情况 下 ， 通 过 各 种 手段 提高 其 访问 权限 。 这 种 攻击 
对 系统 安全 威胁 很 大 。 

管理 员 可 以 利用 允许 本 地 用 户 非法 访问 的 漏洞 来 检查 出 入 侵 者 ， 特 别 是 在 入 侵 者 没有 
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经 验 的 情况 下 更 是 如 此 。 系 统管 理 员 通过 运行 强 有 力 的 登录 工具 ， 可 使 入 侵 者 很 难 逃 避 检 
查 ， 除 非 入 侵 者 有 较 多 的 专业 知识 。 


4. 允许 未 经 授权 的 远程 主机 访问 网 络 的 漏洞 


这 种 允许 远程 用 户 未 经 授权 访问 的 漏洞 ， 属 于 A 类 ， 是 威胁 性 最 大 的 一 种 漏洞 。 这 类 
漏洞 从 外 部 对 系统 造成 严重 的 威胁 。 在 许多 情况 下 ， 如 果 系 统管 理 员 只 运行 了 很 少 的 日 志 ， 
这 些 攻击 可 能 不 会 被 记录 下 来 ， 从 而 使 捕捉 更 为 困难 。 但 采用 搜索 器 便 可 以 检查 这 些 漏洞 。 
因此 ， 尽 管 安全 程序 员 把 这 些 漏洞 包含 进 他 们 的 搜索 器 程序 中 作为 检查 的 选择 ， 这 些 规则 
也 总 是 在 漏洞 出 现 一 段 时 间 后 才 被 制定 出 来 。 

大 多 数 的 A 类 漏洞 是 由 于 较 差 的 系统 管理 或 设置 失误 造成 的 。 典 型 的 设置 错误 是 在 驱 
动 器 上 任意 存放 的 脚本 例 程 。 这 些 脚本 有 时 会 为 网 络 入 侵 者 提供 一 些 访问 权限 ， 有 了 时 甚至 
提供 超级 用 户 访 问 权 限 , 如 Test.cgi 文件 的 缺陷 是 允许 网 络 入 侵 者 读 取 CGI 目录 下 的 文件 。 
要 补救 该 类 漏洞 ， 建 议 删 除 这 些 脚 本 。 例 如 ，Novell 平台 上 的 一 种 HTTP 服务 器 含有 一 个 
称 为 Convert.bas 的 例子 脚本 ， 这 个 用 BASIC 语言 编写 的 脚本 允许 远程 用 户 读 取 系统 上 的 
任何 文件 ， 删 除 该 脚本 即 可 避免 远程 用 户 读 取 系 统 上 的 任何 文件 。 

入 侵 者 利用 脚本 获取 访问 权 。 例 如 ，Microsoft 的 IIS(Internet Information Server， 因 特 
网 信息 服务 器 ) 包 含 一 个 允许 任何 远程 用 户 执行 任意 命令 的 漏洞 。 因 为 IS 中 的 HITP 将 所 
有 .bat 或 .cmd 后 级 的 文件 与 CMD 和 EXE 程序 联系 起 来 , 入侵 者 如 果 能 够 执行 CMD 和 EXE 
文件 ， 那 么 就 可 以 执行 任何 命令 读 取 任 意 分 区 的 任意 文件 。 


3.1.3 ”漏洞 对 网 络 安全 的 影响 


随 着 网 络 经 济 时 代 的 到 来 ， 网 络 将 会 成 为 一 个 无 处 不 在 、 无 所 不 用 的 工具 ， 经 济 、 文 
化 、 军 事 和 社会 活动 将 会 强烈 地 依赖 于 网 络 。 因 此 ， 网 络 的 安全 性 和 可 靠 性 已 成 为 世界 各 
国共 同 关注 的 焦点 。 而 Intemet 的 无 主管 性 、 跨 国界 性 、 不 设防 性 、 缺 少 法 律 约束 性 的 特点 ， 
在 为 各 国 带 来 发 展 机 遇 的 同时 ， 也 带 来 了 巨大 的 风险 。 目 前 ，Intermet 和 Web 站 点 无 数 的 
风险 事例 已 使 一 些 用 户 坐 立 不 安 了 ， 在 他 们 看 来 ， 似 乎 到 处 都 有 漏洞 ， 到 处 都 是 黑客 的 踪 
迹 。 事 实 正 是 如 此 ， 各 种 系统 漏洞 正 严重 地 影响 着 Interet 的 安全 。 

Netscape 通信 和 Netscape 商业 服务 器 也 都 有 类 似 的 漏洞 。 对 于 Netscape 服务 使 用 BAT 
或 CMD 文件 作为 CGI 脚本 则 会 发 生 上 述 类 似 的 情况 。 

1. 漏洞 影响 Internet 的 可 靠 性 和 可 用 性 

Internet 的 网 络 脆弱 性 也 是 一 种 漏洞 。Intemet 是 逐步 发 展 和 演变 而 来 的 ， 其 可 靠 性 和 
可 用 性 存在 很 多 弱点 ， 特 别 是 在 网 络 规 模 迅速 扩大 、 用 户 数 目 猛 增 、 业 务 类 型 多 样 化 的 情 
况 下 ,系统 资源 的 不 足 已 成 为 一 个 瓶颈 ,而 系统 和 应 用 工具 可 靠 性 的 弱点 也 逐渐 暴露 出 来 。 
随 着 经 济 和 管理 活动 对 网 络 依 赖 程度 的 加 深 ， 网 络 的 故障 和 瘫痪 将 会 给 国家 、 组 织 和 企业 
造成 巨大 的 损失 。 

2. 漏洞 导致 了 Internet 上 黑客 入 侵 和 计算 机 犯罪 

黑客 攻击 早 在 主机 一 一 终端 时 代 就 已 经 出 现 , 随 着 Intemet 的 发 展 , 现代 黑客 则 从 以 系 
统 为 主 的 攻击 转变 到 以 网 络 为 主 的 攻击 ， 形 形 色 色 的 黑客 和 攻击 者 利用 网 络 上 的 任何 漏洞 
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和 缺陷 进行 攻击 。 例 如 ， 通 过 网 络 监听 获取 网 上 用 户 的 账号 和 密码 ; 监听 密 钥 分 配 过 程 ， 
攻击 密 钥 管理 服务 器 ， 得 到 密 钥 或 认证 码 ， 从 而 取得 合法 资格 ; 利用 Linux 操作 系统 中 的 
Finger 等 命令 收集 信息 ， 提 高 自己 的 攻击 能 力 ; 利用 FTP， 采 用 匿名 用 户 访问 进行 攻击 ; 
利用 NFS 进行 攻击 ; 通过 隐蔽 通道 进行 非法 活动 ， 突破 防火 墙 等 。 显 然 ， 黑客 入 侵 和 计算 
机 犯罪 给 Internet 的 安全 造成 了 严重 的 威胁 。 

3. 漏洞 致使 Internet 遭受 网 络 病毒 和 其 他 软件 的 攻击 


自 计 算 机 病毒 被 发 现 以 来 ， 其 种 类 以 几何 级 数 增长 ， 而 且 病 毒 的 机 理 和 变种 的 不 断 演 
变 为 检测 和 消除 带 来 了 更 大 的 难度 ， 已 成 为 计算 机 和 网 络 发 展 的 一 大 公害 。 计 算 机 病毒 破 
坏 计算 机 的 正常 工作 及 信息 的 正常 存储 ， 严 重 时 可 以 使 计算 机 系统 陷于 瘫痪 。 

总 之 ， 漏 洞 对 于 Internet 安全 性 的 影响 是 非常 严重 的 。 不 采取 措施 对 漏洞 进行 补救 ,将 
严重 地 制约 Internet 的 发 展 。 


3.2 ”Windows Server 2003 的 安全 


众所周知 ， 微 软 公司 的 Windows Server 2003 操作 系统 因 其 操作 方便 、 功 能 强大 而 成 为 
新 一 代 服 务 器 操作 系统 的 主流 , 越 来 越 多 的 应 用 系统 运行 在 Windows Server 2003 操作 系统 
上 。 在 日 常 工作 中 ， 有 的 管理 员 在 安装 和 配置 操作 系统 时 不 注意 做 好 安全 防范 工作 ， 导 致 
系统 安装 结束 的 同时 ， 计 算 机 病毒 也 入 侵 到 操作 系统 里 了 。 如 何 才能 搭建 一 个 安全 的 操作 
系统 是 安全 管理 人 员 所 关心 的 一 个 问题 , 同时 Windows Server 2003 也 自然 就 成 为 了 黑客 攻 
击 的 对 象 。 


3.2.1 Windows Server 2003 安全 模型 


Windows Server 2003 操作 系统 安全 模型 的 主要 功能 是 用 户 身份 验证 和 访问 控制 。 
Active Directory 目录 服务 确保 管理 员 可 轻松 、 有 效 地 管理 这 些 功能 。 


1. 身份 验证 


Windows Server 2003 家 族 中 身份 验证 的 重要 功能 就 是 它 对 单一 登录 的 支持 。 单 一 登录 
允许 用 户 使 用 一 个 密码 一 次 登录 到 域 ， 然 后 向 域 中 的 任何 计算 机 验证 身份 。 

1) 单一 登录 

单一 登录 在 安全 性 方面 提供 了 两 个 主要 优点 。 

(1) 对 用 户 而 言 ， 单 个 密码 或 智能 卡 的 使 用 减少 了 混乱 ， 提 高 了 工作 效率 。 

(2) 对 管理 员 而 言 ， 由 于 管理 员 只 需要 为 每 个 用 户 管理 一 个 账户 ， 所 以 域 用 户 所 要 求 
的 管理 支持 减少 了 。 

2) “身份 验证 (包括 单一 登录 ) 

身份 验证 分 两 部 分 执行 : 交互 式 登录 ; 网 络 身份 验证 。 成 功 的 用 户 身份 验证 取决 于 这 
两 个 过 程 。 

交互 式 登 录 过 程 向 域 账户 或 本 地 计算 机 确认 用 户 的 身份 ， 这 一 过 程 根据 用 户 账户 的 类 
型 不 同 而 不 同 。 
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(1) 使 用 域 账户 。 用 户 可 以 通过 存储 在 Active Directory 目录 服务 中 的 单一 登录 凭据 使 
用 密码 或 智能 卡 登 录 到 网 络 。 如 果 使 用 域 账户 登录 ， 被 授权 的 用 户 可 以 访问 该 域 以 及 任何 
信任 域 中 的 资源 ， 如 果 使 用 密码 登录 到 域 账 户 ， 系 统 将 使 用 Kerberos V5 进行 身份 验证 ; 如 
果 使 用 智能 卡 ， 则 需要 将 Kerberos V5 身份 验证 和 证 书 一 起 使 用 。 

(2) 使 用 本 地 计算 机 账户 。 用 户 可 以 通过 存储 在 安全 账户 管理 器 (SAM)( 也 就 是 本 地 安 
全 账户 数据 库 ) 中 的 凭据 登录 到 本 地 计算 机 。 任何 工作 站 或 成 员 服务 器 均 可 以 存储 本 地 用 户 
账户 ， 但 这 些 账 户 只 能 用 于 访问 该 本 地 计算 机 。 

网 络 身份 验证 向 用 户 尝试 访问 的 任何 网 络 服务 去 确认 用 户 的 身份 证 明 。 为 了 提供 这 种 
类 型 的 身份 验证 ， 安 全 系统 支持 多 种 不 同 的 身份 验证 机 制 ， 包 括 Kerberos V5、 安 全 套 接 字 
层 / 传 输 层 安全 性 (SSL/TLS) 以 及 为 了 与 Windows NT 4.0 兼容 而 提供 的 NTLM。 

网 络 身 份 验证 对 于 使 用 域 账户 的 用 户 来 说 不 可 见 。 使 用 本 地 计算 机 账户 的 用 户 每 次 访 
问 网 络 资源 时 ， 必 须 提供 凭据 ， 如 用 户 名 和 密码 。 通 过 使 用 域 账户 ， 用 户 就 具有 了 可 用 于 
单一 登录 的 凭据 。 


2. 访问 控制 概述 


访问 控制 是 批准 用 户 、 组 和 计算 机 访问 网 络 上 对 象 的 过 程 。 构 成 访问 控制 的 主要 概念 
是 权限 、 用 户 权力 和 对 象 审核 。 
1) ”权限 
权限 定义 了 授予 用 户 或 组 对 某 个 对 象 或 对 象 属性 的 访问 类 型 。 例 如 ，Finance 组 可 以 
被 授予 对 名 为 Payroll.dat 文件 的 “ 读 取 ”和 “ 写 入 ”权限 。 
权限 应 用 到 任何 受 保护 的 对 象 上 ， 如 文件 、Active Directory 对 象 或 注册 表 对 象 。 权 限 
可 以 授予 任何 用 户 、 组 或 计算 机 ， 好 的 做 法 是 将 权限 指派 到 组 。 
可 以 将 对 象 的 权限 指派 到 : 
e@ 域 中 的 组 、 用 户 和 特殊 标识 符 。 
e@ ”该 域 或 任何 受信 任 域 中 的 组 和 用 户 。 
@ ”对 象 所 在 的 计算 机 上 的 本 地 组 和 用 户 。 
@ ”附加 在 对 象 上 的 权限 取决 于 对 象 的 类 型 。 例 如 ， 附 加 给 文件 的 权限 与 附加 给 注册 
表 项 的 权限 不 同 。 但 是 ， 某 些 权 限 对 于 大 多 数 类 型 的 对 象 都 是 公用 的 。 这 些 公用 
权限 有 : 读 取 权限 ， 修改 权限 ， 更 改 所 有 者 ;删除 。 
设置 权限 ,就 是 为 组 和 用 户 指定 访问 级 别 。 例如， 可 以 允许 一 个 用 户 读 取 文 件 的 内 容 ， 
允许 另 一 个 用 户 修改 该 文件 ， 同 时 防止 所 有 其 他 用 户 访 问 该 文件 ， 可 以 在 打印 机 上 设置 类 
似 的 权限 ， 使 某 些 用 户 可 以 配置 打印 机 ， 而 其 他 用 户 只 能 用 其 打印 。 
如 果 需 要 更 改 个 别 对 象 的 权限 ， 只 要 启动 适当 的 工具 和 更 改 对 象 的 属性 即 可 。 例 如 ， 
要 更 改 文件 的 权限 ， 可 以 启动 Windows 资源 管理 器 ， 右 击 文件 名 ,然后 在 弹出 的 快捷 菜 
单 中 选择 【属性 】 命 令 。 在 弹出 的 对 话 框 中 切换 到 【安全 】 选 项 卡 更 改 文件 的 权限 。 
@ ”对 象 的 所 有 权 : 在 创建 对 象 时 ， 即 有 一 个 所 有 者 指派 给 该 对 象 。 所 有 者 被 默认 为 
对 象 的 创建 者 ， 不 管 为 对 象 设 置 什 么 权限 ， 对 象 的 所 有 者 总 是 可 以 更 改 对 象 的 
权限 。 
@ 权限 的 继承 : 继承 使 得 管理 员 易 于 指派 和 管理 权限 。 该 功能 自动 使 容器 中 的 对 象 


继承 该 容器 的 所 有 可 继承 权限 。 例 如 ， 文 件 夹 中 的 文件 一 经 创建 就 继承 了 文件 夹 
的 权限 ， 当 然 只 继承 标记 为 要 继承 的 权限 。 

2) 用户 权力 

用 户 权力 授予 计算 机 环境 中 的 用 户 和 组 具有 特定 的 特权 和 登录 权力 。 

3) ”对 象 审核 

可 以 审核 用 户 对 对 象 的 访问 情况 ， 即 可 以 使 用 事件 查看 器 在 安全 日 志 中 查看 这 些 与 安 

全 相关 的 事件 。 
3. 加 密 文件 系统 


加 密 文件 系统 (EFS) 提 供 一 种 核心 文件 加 密 技 术 , 该 技术 用 于 在 NTFS 文件 系统 卷 上 存 
储 已 加 密 的 文件 。 加 密 文件 或 文件 夹 后 ,就 可 以 像 使 用 其 他 文件 和 文件 夹 一 样 使 用 它们 了 。 

加 密 文件 系统 对 加 密 该 文件 的 用 户 是 透明 的 。 这 表明 不 必 在 使 用 前 手动 解密 已 加 密 的 
文件 ， 就 可 以 正常 打开 和 更 改 文件 。 

使 用 EFS 类 似 于 使 用 文件 和 文件 夹 上 的 权限 。 两 种 方法 都 可 用 于 限制 数据 的 访问 。 然 
而 ， 未 经 许可 对 加 密 文件 和 文件 夹 进 行 物 理 访问 的 入 侵 者 将 无 法 阅读 这 些 文件 和 文件 夹 中 
的 内 容 。 如 果 入 侵 者 试图 打开 或 复制 已 加 密 的 文件 或 文件 夹 ， 将 收 到 拒绝 访问 的 消息 。 文 
件 和 文件 夹 上 的 权限 不 能 防止 未 授权 的 物理 攻击 。 

正如 设置 其 他 任何 属性 (如 只 读 、 压 缩 或 隐藏 ) 一 样 ， 通 过 为 文件 夹 和 文件 设置 加 密 属 
性 ， 可 以 对 文件 夹 或 文件 进行 加 密 和 解密 。 如 果 加 密 一 个 文件 夹 ， 则 存在 于 加 密 文件 夹 中 
创建 的 所 有 文件 和 子 文件 夹 都 自动 加 密 ， 因 而 推荐 在 文件 夹 级 别 上 加 密 。 

在 使 用 加 密 文件 和 文件 夹 时 ， 应 该 注意 以 下 问题 。 

(1) 只 有 NTFS 卷 上 的 文件 或 文件 夹 才 能 被 加 密 。 由 于 WebDAYV 使 用 NTFS， 当 通过 
WebDAV(Web 分 布 式 创作 和 版 本 控制 ) 加 密 文件 时 需 用 NTFS。 

(2) 不 能 加 密 压 缩 的 文件 或 文件 夹 。 如 果 用 户 加 密 某 个 压缩 文件 或 文件 夹 ， 则 该 文件 
或 文件 夹 将 会 被 解压 。 

(3) 如 果 将 加 密 的 文件 复制 或 移动 到 非 NTFS 格式 的 卷 上 ， 该 文件 将 会 被 解密 。 

(4) 如 果 将 非 加 密 文件 移动 到 加 密 文件 夹 中 ， 则 这 些 文件 将 在 新 文件 夹 中 自动 加 密 。 
然而 ， 反 向 操作 则 不 能 自动 解密 文件 ， 文 件 必 须 被 明确 解密 。 

(5) 无 法 加 密 标记 为 “系统 ”属性 的 文件 ， 并 且 对 位 于 System Root 目录 结构 中 的 文件 
也 无 法 加 密 。 

(6) 加 密 文件 夹 或 文件 不 能 防止 删除 或 列 出 文件 或 目录 。 具 有 合适 权限 的 人 员 可 以 删 
除 或 列 出 已 加 密 文件 夹 或 文件 。 因 此 ， 建 议 结合 NTFS 权限 使 用 EFS。 

(7) 在 允许 进行 远程 加 密 的 远程 计算 机 上 可 以 加 密 或 解密 文件 及 文件 夹 。 然 而 ， 如 果 
通过 网 络 打开 已 加 密 文 件 ， 通 过 此 过 程 在 网 络 上 传输 的 数据 并 未 加 密 ， 必 须 使 用 诸如 
SSL/TLS( 安 全 套 接 字 层 /传输 层 安全 性 ) 或 Intemet 协 议 安 全 性 (IPSec) 等 其 他 协议 通过 有 线 加 
密 数据 。 但 WebDAYV 可 在 本 地 加 密 文件 并 采用 加 密 格式 发 送 。 

4. 公 钥 基础 结构 


计算 机 网 络 已 不 再 是 用 户 只 要 连 在 网 络 上 就 能 证 实 其 身份 的 封闭 系统 。 在 这 个 信息 互 
联 的 时 代 ， 一 个 单位 的 网 络 可 能 包括 内 部 网 、Internet 站 点 和 外 部 网 ， 所 有 这 些 都 有 可 能 被 
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一 些 未 经 授权 的 个 人 访问 ， 他 们 会 蓄意 盗 阅 或 更 改 该 单位 的 数据 。 

系统 管理 员 如 何 才能 确认 访问 信息 人 的 标识 及 给 定 该 标识 呢 ? 如 何 控制 哪个 人 有 权 访 
问 哪些 信息 呢 ? 此 外 ， 系 统管 理 员 如 何 才能 轻松 并 安全 地 跨 全 单位 地 分 发 和 管理 标识 凭据 
呢 ? 这 些 问 题 都 可 以 通过 规划 良好 的 公 钥 基础 结构 来 解决 。 

有 许多 潜在 的 机 会 在 未 经 授权 时 即 可 访问 网 络 上 的 信息 。 个 人 可 以 尝试 监视 或 更 改 类 
似 于 电子 邮件 、 电 子 商务 和 文件 传输 这 样 的 信息 流 。 一 个 单位 可 能 与 合作 伙伴 在 限定 的 范 
围 和 时 间 内 进行 项 目 合作 ， 有 些 雇员 虽然 对 此 一 无 所 知 ， 但 却 必须 给 他 们 一 定 的 权限 访问 
你 的 部 分 信息 资源 。 如 果 用 户 为 了 访问 不 同安 全 系统 需要 记 住 许多 密码 ， 他 们 可 能 选择 一 
些 防 护 性 较 差 或 很 普通 的 密码 ， 以 便于 记忆 。 这 就 不 仅 给 黑客 提供 了 一 个 容易 破解 的 密码 ， 
而 且 还 使 他 们 能 够 访问 众多 安全 系统 和 存储 的 数据 。 

公 钥 基础 结构 (PKD 是 通过 使 用 公 钥 加 密 对 参与 电子 交易 的 每 一 方 的 有 效 性 进行 验证 
和 身份 验证 的 数字 证 书 、 证 书 颁发 机 构 (CA) 和 其 他 注册 机 构 (RA)。 尽 管 PKI 的 各 种 标准 
正 被 作为 电子 商务 的 必需 元 素来 广泛 实现 ， 但 它们 仍 在 发 展 。 


5. Internet 协议 安全 性 定义 


“Internet 协议 安全 性 (IPSec)” 是 一 种 开放 标准 的 框架 结构 , 通过 使 用 加 密 的 安全 服务 
以 确保 在 Intemet 协议 (IP) 网 络 上 进行 保密 而 安全 的 通信 。Windows Server 2003 家 族 、 
Windows XP 实施 的 IPSec 基于 的 是 “Internet 工程 任务 组 ”(IETF) 的 IPSec 工作 组 开发 的 
标准 。 

IPSec 是 安全 联网 的 长 期 方向 。 它 通过 端 对 端的 安全 性 来 提供 主动 的 保护 以 防止 来 自 专 
用 网 络 与 Intemet 的 攻击 。 在 通信 中 ， 只 有 发 送 方 和 接收 方才 是 唯一 必须 了 解 IPSec 保护 的 
计算 机 。 在 Windows XP 和 Windows Server 2003 家 族 中 ，IPSec 提供 的 功能 可 用 于 保护 工 
作 组 、 局 域 网 计算 机 、 域 客户 端 和 服务 器 、 分 支 机 构 (可 能 在 物理 上 为 远程 机 构 )、Extranet 
及 漫游 客户 端 之 间 的 通信 。 


3.2.2 Windows Server 2003 安全 隐患 


上 面 介绍 了 Windows Server 2003 中 采取 的 一 些 安全 措施 , 但 在 实际 应 用 中 , 仍然 出 现 
了 许多 新 的 安全 问题 。 


1. 安装 隐患 


在 一 台 服 务 器 上 安装 Windows Server 2003 操作 系统 时 ， 主 要 存在 以 下 隐患 。 

(1) 将 服务 器 接 入 网 络 内 安装 。Windows Server 2003 操作 系统 在 安装 时 存在 一 个 安全 
漏洞 ， 即 当 输 入 Administrator 密码 后 ， 系 统 就 自动 建立 了 ADMINS 的 共享 ， 但 是 并 没有 用 
刚刚 输入 的 密码 来 保护 它 ， 这 种 情况 一 直 持 续 到 再 次 启动 后 。 在 此 期 间 ， 任 何人 都 可 以 通 
过 ADMINS 进 入 这 台 机 器 。 同 时 ， 只 要 安装 一 结束 ， 各 种 服务 就 会 自动 运行 ， 而 这 时 的 服 
务 器 自身 充满 了 漏洞 ， 计 算 机 病毒 非常 容易 侵入 。 因 此 ， 将 服务 器 接 入 网 络 内 安装 是 极为 
错误 的 做 法 。 

(2) 操作 系统 与 应 用 系统 共用 一 个 磁盘 分 区 。 在 安装 操作 系统 时 ， 将 操作 系统 与 应 用 
系统 安装 在 同一 个 磁盘 分 区 ， 会 导致 一 旦 操作 系统 文件 泄露 时 ， 攻 击 者 可 以 通过 操作 系统 
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漏洞 获取 应 用 系统 的 访问 权限 ， 从 而 影响 应 用 系统 的 安全 运行 。 

(3) 采用 FAT32 文件 格式 安装 。FAT32 文件 格式 不 能 限制 用 户 对 文件 的 访问 , 这 样 可 
能 导致 系统 的 不 安全 。 

(4) 采用 默认 安装 。 默认 安装 操作 系统 时 , 会 自动 安装 一 些 有 安全 隐患 的 组 件 , 如 IS、 
DHCP、DNS 等 ， 从 而 导致 系统 在 安装 后 存在 安全 漏洞 。 

(5) 系统 补丁 安装 不 及 时 、 不 全 面 。 在 系统 安装 完成 后 ， 不 及 时 安装 系统 补丁 程序 ， 
从 而 导致 病毒 侵入 。 

2. 运行 隐患 

在 系统 运行 过 程 中 ， 主 要 存在 以 下 隐患 。 

(1) 默认 共享 。 在 系统 运行 后 ， 会 自动 创建 一 些 隐藏 的 共享 : 一 是 CSD$SES 每 个 分 区 
的 根 共享 目录 ; 二 是 ADMINS$ 远 程 管理 用 的 共享 目录 ; 三 是 IPCS$ 空 连接 ， 四 是 NetLogon 
共享 ;五 是 其 他 系统 默认 共享 ， 如 FAXS$、PRINTS 共 享 等 。 这 些 默 认 共享 给 系统 的 安全 运 
行 带 来 了 很 大 的 隐患 。 

(2) 默认 服务 。 系统 在 运行 后 ,自动 启动 了 许多 有 安全 隐患 的 服务 , 如 Telnet Services、 
DHCP Client、DNS Client、Print Spooler、Remote Registry services( 选 程 修改 注册 表 服 务 )、 
SNMP Services、Terminal Services 等 。 如 果 这 些 服务 在 实际 工作 中 不 需要 ， 可 以 禁用 。 

(3) 安全 策略 。 系 统 运 行 后 ， 默 认 情况 下 ， 系 统 的 安全 策略 是 不 起 作用 的 ， 因 此 降低 
了 系统 的 运行 安全 性 。 

(4) 管理 员 账 号 。 系 统 在 运行 后 ，Administrator 用 户 的 账号 是 不 能 被 停 用 的 ， 这 意味 
着 攻击 者 可 以 一 遍 又 一 遍地 尝试 猜测 这 个 账号 的 口令 。 此 外 ， 设 置 简单 的 用 户 账 号 口令 也 
给 系统 的 安全 运行 带 来 了 隐患 。 

(5) 页 面 文件 。 页 面 文件 用 来 存储 没有 装 入 内 存 的 程序 和 数据 文件 部 分 的 隐藏 文件 。 
页 面 文件 中 可 能 含有 一 些 敏 感 的 资料 ， 因 而 有 可 能 造成 系统 信息 的 泄露 。 

(6) 共享 文件 。 默 认 状 态 下 ， 每 个 人 对 新 创建 的 文件 共享 都 拥有 完全 的 控制 权限 ， 这 
是 非常 危险 的 ， 应 严格 限制 用 户 对 共享 文件 的 访问 。 

(7) Dump 文件 。Dump 文件 在 系统 崩溃 和 蓝屏 的 时 候 是 一 份 很 有 用 的 查找 问题 的 资 
料 。 然 而 ， 它 也 能 够 给 攻击 者 提供 一 些 敏 感 信 息 ， 比 如 一 些 应 用 程序 的 口令 等 ， 从 而 造成 
信息 泄露 。 

(8) Web 服务 。 系 统 本 身 自 带 的 IIS 服务 、FTP 服务 存在 安全 隐患 ， 容 易 导 致 系统 被 
攻击 。 


3.2.3 ”Windows Server 2003 安全 防范 措施 


虽然 Windows Server 2003 稳定 的 性 能 受到 越 来 越 多 用 户 的 青睐 , 但 面 对 层出不穷 的 新 
病毒 ， 加 强 安 全 性 依旧 是 当务之急 。 通 常 ， 只 需 做 一 些 改动 就 能 使 系统 的 安全 性 提升 一 个 
台阶 。 
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1. 安装 对 策 

在 安装 系统 时 ， 需 要 采取 以 下 对 策 。 

(1) 在 完全 安装 、 配 置 好 操作 系统 ， 并 安装 系统 补丁 之 前 ， 不 要 把 机 器 接 入 网 络 。 

(2) 在 安装 操作 系统 时 ,建议 至 少 划分 3 个 磁盘 分 区 。 第 一 个 分 区 用 来 安装 操作 系统 ， 
第 二 个 分 区 存放 HIS、FTP 和 各 种 应 用 程序 ， 第 三 个 分 区 存放 重要 的 数据 和 日 志文 件 。 

(3) 采用 NTFS 文件 格式 安装 操作 系统 ， 可 以 保证 文件 的 安全 ， 并 能 自由 地 控制 用 户 
对 文件 的 访问 权限 。 

(4) 在 安装 系统 组 件 时 , 不 要 采用 默认 安装 , 要 删除 系统 默认 选中 的 TS、DHCP、DNS 
等 服务 。 

(5) 在 安装 完 操作 系统 后 ， 应 先 安装 应 用 程序 ， 再 安装 系统 补丁 。 安 装 的 系统 补丁 一 
定 要 全 面 。 

2. 运行 对 策 

在 系统 运行 时 ， 应 采取 以 下 对 策 。 

1) ”关闭 系统 默认 共享 

方法 一 : 采用 批 处 理 文件 在 系统 启动 后 自动 删除 共享 。 首 先 在 COMMAND 提示 符 下 
输入 Net Share 命令 ， 查 看 系统 自动 运行 的 所 有 共享 目录 。 然 后 建立 一 个 批 处 理 文件 
sharedel.bat， 并 将 该 批 处 理 文件 放 入 计划 任务 中 ,设置 为 每 次 开机 时 运行 。 文 件 内 容 如 下 。 

NETSHARECS$/DELETE 


NETSHARED$ /DELETE 
NETSHAREES$/DELETE 


NETSHAREIPC$/DELETE 

NETSHAREADMINS$ /DELETE 

方法 二 : 修改 系统 注册 表 ， 禁 止 默认 的 共享 功能 。 在 Local Machine\System\ 
CurrentControlSet\Services\Lanmanserver\parameter 下 新 建 一 个 双 字 节 项 auto share server, 设 
置 其 值 为 0 即 可 。 

2) ”删除 不 需要 的 网 络 协议 

删除 网 络 协议 中 的 N Link Net BIOS 协议 、NWLink IPX/SPX/NetBIOS 协议 ， 
NeBEUIPROtocol 协议 和 服务 等 ， 只 保留 TCP/IP 网 络 通信 协议 。 

3) “关闭 不 必要 的 有 安全 隐患 的 服务 

可 以 根据 实际 情况 ， 关 闭 表 3.1 中 列 出 的 服务 。 这 些 服务 是 系统 自动 运行 的 有 安全 隐 
患 的 服务 。 


表 3.1 需要 关闭 的 服务 表 


服务 名 称 更 改 操作 
DHCP Client 停止 并 禁用 
DNS Client 停止 并 禁用 
Print spooler 停止 并 禁用 


续 表 
服务 名 称 更 改 操作 

Remote Registry services 停止 并 禁用 
SNMP services 停止 并 禁用 
Telnet services 禁用 
Terminal services 禁用 

4) ”启用 安全 策略 

安全 策略 包括 以 下 两 个 方面 。 


(1) 账号 锁定 策略 。 设 置 账号 锁定 阐 值 ， 比 如 5 次 无 效 登录 后 ， 即 锁定 账号 。 

(2) 密码 策略 。 

操作 系统 的 密码 (口令 ) 十 分 重要 ， 它 是 抵抗 攻击 的 第 一 道 防线 ， 因 此 必须 把 密码 安全 
作为 安全 策略 的 第 一 步 。 安 全 的 密码 至 少 要 具备 以 下 4 个 条 件 中 的 3 个 : 大 写字 母 、 小 写 
字母 、 数 字 、 非 字母 数字 的 字符 (如 标点 符号 等 )。 

安全 的 密码 还 要 符合 下 列 规 则 : 不 使 用 普通 的 名 字 或 昵称 ;不 使 用 普通 的 个 人 信息 ， 
如 生日 日 期 ， 密 码 里 不 含有 重复 的 字母 或 数字 ， 至 少 使 用 8 个 字符 。 另 外 ， 还 应 该 定期 修 
改 密码 。 

以 下 举例 说 明 强 壮 密码 的 重要 性 : 假设 密码 设置 为 6 位 (包括 任意 5 个 字母 和 一 位 数字 
或 符号 ), 则 其 可 能 性 将 近 有 163 亿 种 。 不 过 这 只 是 理论 估算 , 实际 上 密码 比 这 有 规律 得 多 。 
例如 ， 英 文 常用 词 条 约 5000 条 ， 从 5000 个 词 中 任 取 一 个 字母 与 一 个 字符 合成 口令 ， 仅 有 
688 万 种 可 能 性 ， 在 一 台 600MHz 的 计算 机 上 每 秒 可 运算 10 万 次 ， 则 破解 时 间 仅 需 Imin， 
即使 采用 穷 举 方法 ， 也 只 需 9h， 因 此 6 位 密码 十 分 不 可 靠 。 而 对 于 8 位 密码 (包括 7 个 字母 
和 1 位 数字 或 符号 ) 来 说 ， 若 要 完全 破解 ， 则 需要 将 近 3 年 的 时 间 。 因 此 ， 密 码 不 要 用 全 部 
数字 、 自 己 的 中 英文 名 、 字 典 上 的 词 ， 一 定 要 使 用 数字 和 字母 交替 夹杂 ， 并 最 好 加 入 
@#$%1&*? 之 类 的 字符 。 

【 例 3.1】 使 用 安全 强壮 的 密码 。 

Windows Server 2003 系统 在 默认 配置 下 允许 任何 字符 或 字符 串 作 为 密码 ， 包 括 空格 ， 
这 是 相当 不 安全 的 ， 可 以 通过 修改 注册 表 使 得 设 定 的 密码 中 必须 同时 包含 字母 和 数字 ， 从 
而 增强 系统 的 安全 性 。 

(1) 选择 【控制 面板 】|【 管 理工 具 〗|【 本 地 安全 策略 】〗 命 令 ， 打 开 【 本 地 安全 设置 】 
窗口 ， 如 图 3.1 所 示 。 

(2) 选择 【账户 策略 〗】 中 的 【密码 策略 】〗】 选 项 ， 双 击 想 要 更 改 的 项 目 ， 比 如 【密码 长 
度 最 小 值 〗】， 打 开 图 3.2 所 示 的 【密码 长 度 最 小 值 属性 〗】 对 话 框 。 

(3) 设置 好 对 应 的 内 容 ， 单 击 【 确 定 】〗 按 钮 。 

还 可 以 按照 上 面 的 步骤 作 表 3.2 所 示 的 设置 。 
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国 强 制 密码 历史 


辆 用 可 还 原 的 加 密 来 储存 客 码 


由 - 国 软件 限制 策略 
由 电 全 安全 策略 ,在 本 地 计算 机 


图 3.1 【本 地 安全 设置 】 窗 口 
密码 长 度 最 小 值 尾 性 下 


图 3.2 【密码 长 度 最 小 值 属性 】 对 话 框 


表 3.2 密码 策略 设置 
策 略 安全 设置 
密码 复杂 性 要 求 启用 
密码 长 度 最 小 值 8 位 
强制 密码 历史 5 次 
强制 密码 历史 42 天 


注 : 后 两 项 会 因 操作 系统 的 不 同 ， 设 置 名 称 等 会 不 尽 相 同 ， 但 意义 都 一 样 。 


3. 重新 启动 计算 机 使 新 的 设置 生效 


1) 审核 策略 
默认 安装 时 审核 策略 是 关闭 的 。 激 活 此 功能 有 利于 管理 员 很 好 地 掌握 机 器 的 状态 ， 有 


利于 系统 的 入 侵 检测 。 可 以 从 日 志 中 了 解 到 计算 机 是 否 在 被 攻击 、 是 否 有 非法 的 文件 访问 
等 。 开 启 安全 审核 是 系统 最 基本 的 入 侵 检测 方法 。 当 攻击 者 尝试 对 系统 进行 某 些 方式 (如 尝 


试 


户口 令 、 改 变 账号 策略 、 未 经 许可 的 文件 访问 等 ) 入 侵 时 ， 都 会 被 安全 审核 记录 下 来 。 


下 面 的 这 些 审核 是 必须 开启 的 ， 其 他 的 可 以 根据 需要 增加 如 图 3.3 所 示 : 审核 系统 登 


筑 | 录 事 件 、 审 核 账户 管理 、 审 核 登录 事件 、 审 核对 象 访问 、 审 核 策略 更 改 、 审 核 特 权 使 用 、 
机 | 审核 系统 事件 。 


网 

络 EE 蝇 
信 文件 EE 操作 查看 如) 帮助 0 
息 牛 上 | 和 外 | 四 |X 锋 加 | 久 

安 

全 


图 3.3 审核 策略 设置 
2) 用户 权限 分 配 
3) ”安全 选项 
在 【安全 选项 】 中 ， 右 击 【 网 络 访问 : 不 允许 枚 举 SAM 账户 和 共享 的 匿名 枚 举 】 选 
项 ， 在 弹出 的 快捷 菜单 中 选择 【属性 】 命 令 ， 打 开 【 网 络 访问 ， 不 允许 SAM 账户 和 共享 
的 匿名 枚 举 属性 】 对 话 框 ， 将 其 属性 设置 为 【已 禁用 】， 如 图 3.4 所 示 。 


网 络 访问 : 不 允许 5 如 帐户 和 共享 的 匿名 入 尘 十 性 引 x 


剧 网 络 访问 : 不 允许 SM 帐户 和 共享 的 匿名 术 举 


已 用) 


取消 ”| 应用 上 


3.4 【网 络 访问 : 不 允许 SAM 账户 和 共享 的 匿名 枚 举 属性 】 对 话 框 


也 可 以 通过 修改 注册 表 中 的 值 来 禁止 建立 空 连 接 ， 选 择 【 开 始 】| 【运行 】 命 令 ， 打 开 
【运行 】 对 话 框 ， 输 入 regedit.exe， 打 开 【 注 册 表 编辑 器 】 窗 口 ， 如 图 3.5 所 示 ， 选 择 
Hkey_Local Machine\ System\ CurrentControlSet\Control\Lsa 中 的 restrictanonymous， 右 击 打 
开 快捷 菜单 ， 选 择 【 修 改 】 命 令 , 打开 【编辑 DWORD 值 】 对 话 框 ， 将 数值 数据 值 改 为 1， 


如 图 3.6 所 示 。 这 可 以 有 效 地 防止 利用 了 PCS$ 空 连接 枚 举 SAM 账号 和 共享 资源 ， 造 成 系统 
信息 泄露 。 
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注册 表 篇 辑 器 =Iolx] 
文件 也 ”编辑 下) 查看 QW 收 着 严 内 帮助 0D 


起 国 Keybowra Layo 
外国 Kerbosra Layo | 加 
= 有 


大 的 电脑 WUEY_LDCAL_WACNINE\STSTENVCurrentCentrolSet\Control\Lss 


3.5 ”修改 注册 表 中 restrictanonymous 的 值 


CE 了 xx 
数值 名 称 加 ) ; 
Festrictanonymous 


数值 数据 中: 一 
站 | ec 
C 十 进 制 四 ) 


Cue ]_ ww | 


图 3.6 【编辑 DWORD 值 】 对 话 框 
4. 加 强 对 Administrator 账户 和 Guest 账户 的 管理 监控 


将 Administrator 账户 重新 命名 ， 新 建 一 个 陷阱 账号 ， 名 为 Administrator， 口 令 为 10 位 
以 上 的 复杂 口令 ， 其 权限 设置 为 最 低 ， 即 将 其 设 为 不 隶属 于 任何 一 个 组 ， 并 通过 安全 审核 ， 
借 此 发 现 攻击 者 的 入 侵 企 图 。 设 置 两 个 管理 员 用 账号 : 一 个 具有 一 般 权 限 ， 用 来 处 理 一 些 
日 常事 务 ， 另 一 个 具有 管理 员 权限 ， 只 在 需要 的 时 候 使 用 。 修 改 Guest 用 户口 令 为 复杂 口 
令 ， 或 者 禁用 Guest 用 户 账号 。 


5. 清除 页 面 文件 
选择 【开始 】| 【运行 】 命 令 ， 打 开 【 运 行 】 对 话 框 ， 输 入 regedit.exe， 打 开 【 注 册 表 
编辑 器 窗口 , 修改 HKLM\SYSTEM\CurentControlSet\Control\SessionManager\ MemoryManagement 


中 Clear Page File At Shutdown 的 值 为 1， 可 以 禁止 系统 产生 页 面 文件 ， 防 止 信息 泄露 ， 如 
图 3.7 所 示 。 


广 册 表 篇 回回 =I9|x| 
文件 @) 钨 辑 人 E) 查看 QV) 收 讲 夹 信 ) 帮助 人 0 


BEG_DYORD 
和 外 Filekenme0peration | 国 DissblePagingxecative REG_IYORD 


各 kerael REG_DYORD 
国 mompULs onPagedP oolQuota REG_DYORD 
日 所 memory Nanagenent 民 ‘edPoolSize REG_DYORD 
REG_IORD 
BEG_DFORD 
BEG NLTL SZ f-\pagefile, sys © 
REG_MWORD 0xz00000000 (D) 


REG_IORD | 
» 


3.7 ”清除 页 面 文件 
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6. 清除 Dump 文件 


选择 【控制 面板 】| 【系统 】|【 高 级 】| 【启动 和 故障 恢复 】 命 令 ， 打 开 【 启 动 和 故障 恢 
复 】 对 话 框 , 在 【 写 入 调试 信息 】 选 项 组 中 的 下 拉 列 表 框 中 选择 【无 】 选项 , 可 以 清除 Dump 
文件 ， 防 止 信息 泄露 ， 如 图 3.8 所 示 。 


启动 和 芯 障 恢复 Hx 
系 缮 BB 动 

寺 认 换 作 夭 统 GD) - 

[rndors Server 2003, Enterprsse™ /Festdetect /Nolse mI 


要 于 动 扩 和 后 动迁 项 文件 ， 请 单 击 “ 编 委 ”。 sk 
系统 拓 败 

| 

末 发 送 管 理 警报 中 

末 EE 重 新 启动 @R 


写 入 调 坟 息 
[EA | 
苇 隧 文件 ， 
[Er 
PB 


Ce | ww | 


图 3.8 清除 Dump 文件 
7. 防范 NetBIOS 漏洞 攻击 


在 局 域 网 内 部 使 用 NetBIOS 协议 可 以 非常 方便 地 实现 消息 通信 ,但 是 如 果 在 因特网 上 ， 
NetBIOS 就 相当 于 一 个 后 门 程序 ， 很 多 攻击 者 都 是 通过 NetBIOS 漏洞 发 起 攻击 的 。 

NetBIOS(Network Basic Input Output System， 网 络 基本 输入 输出 系统 ) 是 一 种 应 用 程序 
接口 (APD, 系统 可 以 利用 WINS( 管 理 计 算 机 NetBIOS 名 和 也 映 射 关 系 ) 服 务 、 广 播 及 Lmhost 
文件 等 多 种 模式 将 NetBIOS 名 解析 为 相应 的 卫 地 址 ， 从 而 实现 信息 通信 。 

【 例 3.2】 对 于 Windows Server 2003 系统 而 言 ， 可 以 通过 以 下 方式 来 设置 。 

(1) 选择 【开始 】〗|【 设 置 〗|【 控 制 面板 】|【 网 络 和 拨号 连接 〗|【 本 地 连接 〗 命 令 ， 

双击 【Intemet 协议 (TCP/IP)〗】， 打 开 如 图 3.9 所 示 的 【Internet 协议 (TCP/IP) 属 性 】 对 话 框 。 


图 3.9 【Internet 协 议 (TCP/IP) 属 性 】 对 话 框 
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(2) 单 击 【高 级 】 按 钮 ， 打 开 如 图 3.10 所 示 的 【高 级 TCP/IP 设置 〗 对 话 框 ， 切 换 到 
【选项 】 选 项 卡 .。 


3.10 【高 级 TCP/IP 设置 】 对 话 框 


(3) 单 击 【 属 性 】 按 钮 ， 打 开 【TCP/IP 筛选 〗 对 话 框 ， 从 中 选中 【启用 TCP/IP 筛选 
(所 有 适配器 )〗 复 选 框 ， 如 图 3.11 所 示 。 


3.11 【TCP/IP 筛选 】 对 话 框 


(4) 在 【TCP 端口 】 中 添加 除了 139 之 外 要 用 到 的 服务 端口 即 可 。 

8. Web 服务 安全 设置 

对 于 Web 服务 和 FTP 服务 的 安全 设置 ， 建 议 采取 以 下 措施 。 

(1) 在 安装 时 不 要 选择 IIS 服务 ， 安 装 完毕 后 手动 添加 该 服务 ， 将 其 安装 目录 设置 为 
如 D:\INTE 等 任意 字符 ， 以 加 大 安全 性 。 

(2) 删除 Intemet 服务 管理 器 ， 删 除 样 本 页 面 和 脚本 ， 镍 载 mtemet 打印 服务 ， 删 除 除 
ASP 以 外 的 应 用 程序 映射 。 


(3) 针对 不 同类 型 文件 建立 不 同文 件 夹 并 设置 不 同 权限 。 

(4) 对 脚本 程序 设置 为 纯 脚 本 执行 许可 权限 ， 二 进 制 执行 文件 设置 为 脚本 和 可 执行 程 
序 权限 ， 静 态 文件 设置 为 读 权 限 。 

(5) 对 安全 扫描 出 的 CGI 漏洞 文件 要 及 时 删除 。 

9. 加 国 IIS 服务 器 的 安全 


针对 Windows 系统 的 攻击 几乎 都 偏重 在 IS 上 , 如 2001 年 .2002 年 的 Nimda、CodeRed 
病毒 等 都 是 利用 IIS 漏洞 入 侵 并 且 开 始 传播 的 。 由 于 Windows Server 2003 系统 上 使 用 IIS 
作为 WWW 服务 程序 居多 ， 再 加 上 IIS 的 脆弱 性 以 及 与 操作 系统 的 相关 性 ， 所 以 通过 IIS 
的 漏洞 入 侵 来 获得 整个 操作 系统 的 管理 员 权限 ， 对 于 一 台 未 经 安全 配置 的 计算 机 来 说 是 轻 
而 易 举 的 ， 因 此 ， 配 置 和 管理 好 IIS 在 整个 系统 配置 里 就 显得 举足轻重 。 

IIS 的 配置 可 以 分 为 以 下 几 个 方面 (以 下 操作 均 是 使 用 Intemet 信息 服务 管理 器 操作 ， 
可 以 在 控制 面板 的 管理 工具 里 找到 该 快捷 方式 ， 如 图 3.12 所 示 )。 


用 Internet 信息 服务 (EIS) 管 理 器 
轩 文件 四 操作) 查看 WW 窗口 如 帮助 | 了 可 区 
卸 小 | 外 | 四 |X 儿 加 驹 | 岛 | 旦 | Pl 


图 3.12 【Internet 信息 服务 (IIS) 管 理 器 】 窗 口 
1) “删除 目录 映射 
默认 的 IIS 安装 目录 是 Ci\inetpub， 建 议 更 改 到 其 他 分 区 的 目录 里 面 ， 比 如 Di\inetpub 
目录 。 
默认 时 IIS 里 有 Scripts、ISAdmin、ISSamples、MSADC、ISHelp、Printers 这 些 目录 
映射 ， 建 议 完全 删除 IS 的 默认 映射 目录 ， 包 括 在 服务 器 上 真实 的 路 径 (%systemroot% 是 一 
个 环境 变量 ， 在 具体 每 台 服 务 器 上 可 能 不 一 样 ， 默 认 值 由 安装 时 选择 目录 决定 )。 
Scripts 对 应 Ci\inetpub\scripts 目录 如 下 。 
IISAdmin 对 应 %systemroot%\System32\inetsrv\iisadmin 目录 。 
IISSamples 对 应 Ci\inetpub\iissamples 目录 。 
MSADC 对 应 Ci:\program files\common files\system\msadc 目录 。 
IISHelp 对 应 %systemroot%\help\iishelp 目录 。 
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Printers 对 应 %systemroot%Web\printers 目录 。 

IIS 管理 员 页 面目 录 如 下 。 

IISADMPWD 对 应 %systemroot%\system32\inetsrv\iisadmpwd 目录 。 

IISADMIN 对 应 %systemroot%\system32\inetsrv\iisadmin 目录 。 

2) ”删除 可 执行 文件 扩展 名 (应 用 程序 ) 映 身 

(1) 在 【Intemet 信 息 (IS) 服 务 管理 器 】 窗 口中 ， 选 择 【 默 认 网 站 】|【 属 性 】 选 项 ， 打 
开 【 默 认 网 站 属性 】 对 话 框 ， 如 图 3.13 所 示 。 


默认 网 站 屋 性 a 
J0TP 头 | 目 定 义 栈 误 | 服务 器 扩展 | Server Extensions 2002 
网 # | 性 能 。 | TSAET 第 迁 器 Ba Ps | 目录 安全 性 

UE 的 上 条 面 有 

rr 
广 重 定向 到 WLWD 

本 地 路 径 C): [as 

厂 脚本 资源 访问 GD) 

订 读 职 @) 

FS 入 VW 

厂 目录 浏览 @) 

应 用 程序 设置 

应 用 程序 名 加 ) 

开始 位 置 : 

执行 权限 中): 

应 用 程序 池 0) DefaultAppPool 3 EJ | 


Ce ]_ ww |_ maw 帮助 
图 3.13 【默认 网 站 属性 】 对 话 框 
(2) 在 该 对 话 框 中 单 击 【 配 置 】 按 钮 ， 默 认 有 以 下 程序 映射 ， 如 图 3.14 所 示 。 


映射 | 选项 | 调式 | 


得 除 罗 ) 
正 移 0 | 让 移 中 ) 


3.14 【了 映射】 选项 卡 


如 果 不 使 用 SSI(side server include， 服 务 器 端 谋 入 脚本 )， 建 议 删 除 .shtm、.stm 和 .shtml 
这 些 映射 文件 ， 建 议 只 保留 .asp 和 .asa 的 映射 。 


A 


3) ”Frontpage 扩展 服务 

(1) 选择 【开始 】| 【设置 】|【 控 制 面板 】 命 令 ， 打 开 【 控 制 面板 】 窗 口 ， 双 击 【 添 加 
或 删除 程序 】 图 标 ， 打 开 【 添 加 或 删除 程序 】 对 话 框 ， 选 择 【 添 加 /删除 Windows 组 件 】 选 
项 ， 打 开 【windows 组 件 向 导 】 对 话 框 ， 如 图 3.15 所 示 。 

(2) 选中 【应 用 程序 服务 器 】 复 选 框 ， 单 击 【详细 信息 】 按 钮 ， 打 开 【 应 用 程序 服务 
器 】 对 话 框 ， 如 图 3.16 所 示 。 


应 用 程序 服务 器 EF 


A 


Tindors 钥 件 
可 以 添加 或 赤 除 Windows 的 组 件 。 


EE 
E 


ne rr aa 可 

姐 件 @) 加 依据 用 网 络 com 访问 0.0 

口 驳 条 | 服务 oom 可 回 的 局 用 网 络 DTc 访问 0.0 上 
] 各 网络 服务 2.6 MB 到 消息 队列 6.5 中 
局 二 可 安装 归 务 了 La 网 窗 应 用 程序 服务 器 控制 台 0.0 有 司 
下 局 远 得 看 依 35 吧 到 描述 : 包括 Web ,FTP ,SMTP 和 ITP 支持 ， 避 FrontPage Server 


ITs ， 
描述 : 证 ASP. 了 ET ，Internet 信息 服务 TS) 和 应 用 程序 服务 器 控制 Extension 和 Active Server Page (ASP) 的 支持 。 


所 需 磁盘 空间 ; 12.7 0B 
可 用 昌 和 全 间 ; 457.0 中 WN 
所 希 磁 盘 空 间 ; 12.7 皮 详细 信息 Q) 
可 用 磁盘 空间 : 457.0 有 
cso] wm | 二 | wm | 


图 3.15 【Windows 组 件 向 导 】 对 话 框 图 3.16 【应 用 程序 服务 器 】 对 话 框 


(3) 选择 【Intemet 信息 服务 (IIS)】 复 选 框 ， 单 击 【 详 细 人 信息】 按钮 ， 打 开 【Intemet 
信息 服务 (IIS)】 对 话 框 ， 确 认 FrontPage 2002 Server Extensions 复 选 框 未 被 选中 ， 如 图 3.17 

所 示 ， 单 击 【 确 定 】 按 钮 。 
Internet 信息 服务 (EIS) x 


匡 吉 时 


Internet 信息 服务 CTS) 的 子 组 件 C) : 


0.0 上 
1.3 妥 
10 吧 
1.2 吧 
回 多 公用 文件 10 吧 本 | 


描述 : 局 用 量 eresoft FrontPage 创作 和 管理 。 注 意 : 已 启用 索引 服务 。 


所 需 磁 盘 空间 12.7 上 详细 信息 0) 
可 用 磁盘 空间 : 457.0 肥 
ww | 


图 3.17 【Internet 信息 服务 (IIS)】 对 话 框 


4) FTP 文件 传输 服务 

尽量 不 要 使 用 系统 自 带 的 FTP 服务， 因为 该 服务 与 系统 账户 集成 认证 ， 一 旦 密码 泄露 
后 果 十 分 严重 。 建 议 利 用 第 三 方 软件 Serv-U 提供 的 FTP 服务， 该 软件 采用 单 向 Hash 函数 
(MD5) 加 密 用 户口 令 , 加 密 后 的 口令 保存 在 ServrUDaemon .ini 或 是 注册 表 中 ; 用 户 权 限 管理 
采用 多 权限 和 模拟 域 方 式 ， 并 且 虚 拟 路 径 和 物理 路 径 能 够 随时 变换 。 此 外 ， 利 用 卫 规则 、 
用 户 权限 、 用 户 域 、 用 户口 令 等 多 重 保护 防止 非法 入 侵 。 
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10. 禁止 不 必要 的 服务 


Windows Server 2003 系统 中 有 许多 不 常用 的 服务 自动 处 于 激活 状态 ， 许 多 服务 中 可 能 
存在 的 安全 漏洞 使 攻击 者 甚至 不 需要 账户 就 能 控制 计算 机 。 为 了 系统 的 安全 ， 应 该 关闭 不 
常用 的 功能 服务 ， 从 而 大 大 减少 安全 风险 。 

选择 【开始 】|【 设 置 】|【 控 制 面板 】 命 令 ， 打开 【控制 面板 】 窗 口 ， 双 击 【 管 理工 具 】 
图 标 ， 打 开 【 管 理工 具 】 窗 口 ， 双 击 【 服 务 】 图 标 ， 打 开 【 服 务 】 窗 口 ， 将 不 必要 的 服务 
进行 禁止 ， 如 图 3.18 所 示 。 


服务 征地) 各 交 


x 
文件 于) 操作 届 查看 必 助 0D 
生字 | 加 | 加 国 攻 | 咖 | 于 1 于 
加 习 状 疙 局 动 关 : EE 录 为 
荣 用 本 地 服务 
EE EE 


疆 革 加 问世 寺 冰箱 游 吐 并 加 妾 污 半 站 计 几 加 册 


图 3.18 禁止 不 必要 的 服务 


相关 需要 禁止 的 服务 如 下 。 


Alerter: 系统 管理 级 警报 。 

Application Management: 提供 软件 安装 服务 ， 诸 如 分 派 、 发 布 及 删除 等 。 
ClipBook: 支持 【剪贴 短 查 看 器 】， 从 远程 剪贴 短 查 阅 剪贴 页 面 。 

COM+ Event System: 提供 事件 的 自动 发 布 及 订阅 COM 组 件 。 

Computer Browser: 维护 网 络 计算 机 的 最 新 列表 ， 以 及 响应 提供 这 个 列表 的 请 求 。 
Distributed Link Tracking Client: 当 文 件 在 网 络 域 的 NTFS 卷 中 移动 时 发 送 通知 。 
Distributed Transaction Coordinator: 协调 跨 多 个 数据 库 、 消 息 队 列 、 文 件 系 统 等 资 
源 管理 器 的 事务 。 

Fax Service: 发 送 和 接收 传真 。 

FTP Publishing Service: 通过 Intemet 信息 服务 的 管理 单元 提供 FTP 连接 和 管理 。 
Indexing Service: 本 地 和 远程 计算 机 上 文件 的 索引 内 容 和 属性 ， 并 提供 文件 快速 
访问 服务 。 

Messenger: 发 送 和 接收 系统 管理 员 以 及 Alerter 服务 传递 的 消息 。 

NetLogon: 支持 网 络 计算 机 pass-through 账户 登录 身份 验证 事件 。 

Network DDE: 提供 动态 数据 交换 (DDE) 的 网 络 传输 和 安全 特性 服务 。 

Network DDE DSDM: 管理 DDE 共享 动态 数据 交换 。 

Network Monitor: 网 络 监视 器 。 

NetMeeting Remote Desktop Sharing: 允许 有 权限 的 用 户 使 用 NetMeeting 远程 访问 


Windows 桌面 。 

@ ”Plug and Play( 在 配置 好 所 有 硬件 后 应 该 禁止 此 服务 ): 管理 设备 安装 及 配置 ， 并 且 
通知 程序 关于 设备 更 改 的 情况 。 

@ Remote Procedure Call(RPC): 提供 终 节点 映射 程序 (Endpoint Mapper) 以 及 其 他 RPC 

服务 。 

Remote Registry Service: 允许 远程 注册 表 操 作 。 

Removable Storage: 管理 可 移动 媒体 、 驱 动 程序 和 库 。 

Routing and Remote Access: 在 局 域 网 以 及 广域网 环境 中 为 企业 提供 路 由 服务 。 

Server: 支持 此 计算 机 通过 网 络 的 文件 、 打 印 和 命名 管道 共享 。 

Smart Card: 对 插入 在 计算 机 智能 卡 阅读 器 中 的 智能 卡 进行 管理 和 访问 控制 。 

Smart Card Helper: 提供 对 连接 到 计算 机 上 旧式 智能 卡 的 支持 。 

Task Schedule: 允许 程序 在 指定 时 间 的 运行 。 

TCP/IP NetBIOS Helper: 提供 TCP/IPQNetBT) 服 务 上 的 NetBIOS 和 网 络 上 客户 端 

的 NetBIOS 名 称 解 析 的 支持 。 

@ Telephone Service: 提供 TAPI 支持， 以 便 程 序 控制 本 地 计算 机 、 服 务 器 以 及 LAN 
上 的 电话 设备 和 基于 IP 的 语音 连接 。 

@ Windows Management Instrumentation: 提供 系统 管理 信息 。 


3.3 Linux 网 络 操作 系统 的 安全 


随 着 Intemet 的 日 益 普及 , 采用 Linux 操作 系统 作为 服务 器 的 用 户 也 越 来 越 多 ,这 一 方 
面 是 因为 Linux 是 开放 源 代码 的 免费 正版 软件 ， 另 一 方面 也 是 因为 Linux 系统 具有 较 好 的 
稳定 性 和 安全 性 。 在 使 用 Linux 操作 系统 的 时 候 ， 也 要 详细 分 析 Linux 系统 的 安全 机 制 ， 
找 出 它 可 能 存在 的 安全 隐患 ， 给 出 相应 的 安全 策略 和 保护 措施 是 十 分 必要 的 。 


3.3.1 Linux 网 络 操作 系统 的 基本 安全 机 制 

Linux 网 络 操作 系统 提供 了 用 户 账 号 、 文 件 系 统 权 限 和 系统 日 志文 件 等 基本 安全 机 制 ， 
如 果 这 些 安全 机 制 配置 不 当 ， 就 会 使 系统 存在 一 定 的 安全 隐患 。 

1. Linux 系统 的 用 户 账号 

在 Linux 系统 中 ， 用 户 账号 是 用 户 身份 的 标志 ， 它 由 用 户 名 和 用 户口 令 两 部 分 组 成 。 
在 Linux 系统 中 ， 系 统 将 输入 的 用 户 名 存放 在 /etc/passwd 文件 中 ， 而 将 输入 的 口令 以 加 密 
的 形式 存放 在 /etc/shadow 文件 中 。 在 正常 情况 下 ， 这 些 口令 由 操作 系统 保护 ， 能 够 对 其 进 
行 访问 的 只 能 是 超级 用 户 和 操作 系统 的 一 些 应 用 程序 。 但 是 如 果 配 置 不 当 ， 或 者 在 系统 运 
行 出 错 的 情况 下 ， 这 些 信息 可 能 被 普通 用 户 非 法 获取 。 进 而 ， 不 怀 好 意 的 用 户 就 可 以 使 用 
“口令 破解 ”工具 得 到 加 密 前 的 口令 。 

2. Linux 的 文件 系统 权限 


Linux 文件 系统 的 安全 主要 是 通过 设置 文件 的 权限 来 实现 的 。 每 一 个 Linux 的 文件 或 目 
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录 都 有 3 组 属性 , 分 别 定 义 文件 或 目录 的 所 有 者 、 用户 组 和 其 他 人 的 使 用 权限 (只 读 、 可 写 、 
可 执行 、 允 许 SUID、 人 允许 SGID 等 )， 需 要 注意 的 是 权限 为 SGID 和 SUID 的 可 执行 文件 。 
SGID(SUID) 中 的 S 指 set， 程 序 在 运行 时 ， 其 进程 的 EUID(Effective User ID) 或 
EGID(Effective Group ID) 会 被 设置 成 文件 拥有 者 的 UIDGID， 从 而 进程 也 具有 了 其 Owner 
或 Owner Group 的 权限 。 典 型 的 应 用 是 /bin/passwd 命令 ， 其 Owner 是 root， 权 限 是 4755。 
可 以 想象 ， 如 果 使 用 不 当 ，SGID 和 SUID 程序 会 给 系统 安全 性 带 来 极 大 的 危害 。 某 些 入 侵 
者 暂时 取得 root 权限 后 ， 往 往 会 利用 SGID 或 SUID 程序 为 下 次 进入 系统 留 下 后 门 。 为 了 
防止 这 种 情况 发 生 ， 应 当 定期 检查 系统 中 的 SUID 和 SGID 程序 。 


3. 合理 利用 Linux 的 日 志文 件 


Linux 的 日 志文 件 用 来 记录 整个 操作 系统 使 用 状况 。 作 为 一 个 Linux 网 络 系统 管理 员 要 
充分 用 好 以 下 几 个 日 志文 件 。 

(1) /var/log/lastlog 文件 。 记 录 最 后 进入 系统 的 用 户 信 息 ， 包 括 登 录 的 时 间 、 登 录 是 否 
成 功 等 。 因此 普通 用 户 登 录 后 只 要 用 lastlog 命令 查看 一 下 /var/log/lastlog 文件 中 记录 账号 的 
最 后 登录 时 间 ， 再 与 自己 的 记录 对 比 一 下 ， 就 可 以 发 现 该 账号 是 否 被 黑客 盗用 。 

(2) /var/log/secure 文件 。 记 录 系 统 自 开通 以 来 所 有 用 户 的 登录 时 间 和 地 点 ， 可 以 给 系 
统管 理 员 提供 更 多 的 参考 。 

(3) /varlog/wtmp 文件 。 记 录 当 前 和 历史 上 登录 到 系统 的 用 户 的 登录 时 间 、 地 点 和 注 
销 时 间 等 信息 。 可 以 用 last 命令 查看 ， 若 想 清除 系统 登录 信息 ， 只 需 删除 这 个 文件 即 可 。 


3.3.2 Linux 网 络 系统 可 能 受到 的 攻击 


Linux 操作 系统 是 一 种 公开 源 代码 的 操作 系统 , 因此 比较 容易 受到 来 自 底层 的 攻击 , 系 
统管 理 员 一 定 要 有 安全 防范 意识 ， 并 对 系统 采取 一 定 的 安全 措施 ， 这 样 才能 提高 Linux 系 
统 的 安全 性 。 

对 于 系统 管理 员 来 说 ， 特 别 是 要 搞 清楚 对 Linux 网 络 系统 可 能 的 攻击 方法 ， 并 采取 必 
要 的 措施 保护 自己 的 系统 。 对 Linux 服务 器 攻击 的 定义 是 ， 攻 击 是 一 种 则 在 妨碍 、 损 害 、 
削弱 、 破 坏 Linux 服务 器 安全 的 未 授权 行为 。 攻 击 的 范围 可 以 从 服务 拒绝 直至 完全 危害 和 
破坏 Linux 服务 器 。 

对 Linux 服务 器 攻击 通常 有 4 类 。 

1. “拒绝 服务 ”攻击 

“拒绝 服务 ”攻击 是 指 黑客 采取 具有 破坏 性 的 方法 阻塞 目标 网 络 的 资源 ， 使 网 络 暂时 
或 永久 瘫痪 ， 从 而 使 Linux 网 络 服务 器 无 法 为 正常 的 用 户 提供 服务 。 例 如 ， 黑 客 可 以 利用 
伪造 的 源 地 址 或 受 控 的 其 他 地 方 的 多 台 计 算 机 同时 向 目标 计算 机 发 出 大 量 、 连 续 的 TCP/ 卫 
请 求 ， 从 而 使 目标 服务 器 系统 瘫痪 。 

2. “口令 破解 ”攻击 

口令 是 保卫 自己 系统 安全 的 第 一 道 防线 。“ 口 令 破解 ”攻击 的 目的 是 为 了 破解 用 户 的 
口令 ， 从 而 可 以 取得 已 经 加 密 的 信息 资源 。 例 如 ， 黑 客 可 以 利用 一 台 高 速 计算 机 ， 配 合 一 
个 字典 库 ， 尝 试 各 种 口令 组 合 ， 直 到 最 终 找到 能 够 进入 系统 的 口令 ， 打 开 网 络 资源 。 


3. “欺骗 用 户 ” 攻 击 


“欺骗 用 户 ” 攻 击 是 指 网 络 黑客 伪装 成 网 络 公 司 或 计算 机 服务 商 的 工程 技术 人 员 ， 向 
用 户 发 出 呼叫 ， 并 在 适当 的 时 候 要 求 用 户 输入 口令 ， 这 是 用 户 最 难 对 付 的 一 种 攻击 方式 ， 
一 旦 用 户口 令 失窃 ， 黑 客 就 可 以 利用 该 用 户 的 账号 进入 系统 。 


4. “扫描 程序 和 网 络 监听 ”攻击 


许多 网 络 入 侵 是 从 扫描 开始 的 , 利用 扫描 工具 黑客 能 找 出 目标 主机 上 各 种 各 样 的 漏洞 ， 
并 利用 它 对 系统 实施 攻击 。 

网 络 监听 也 是 黑客 们 常用 的 一 种 方法 ， 当 成 功 登录 到 一 台 网 络 上 的 主机 ， 并 取得 了 这 
台 主 机 的 超级 用 户 控制 权 之 后 ， 黑 客 可 以 利用 网 络 监听 收集 敏感 数据 或 者 认证 信息 ， 以 便 
日 后 夺取 网 络 中 其 他 主机 的 控制 权 。 


3.3.3 Linux 网 络 安全 防范 策略 


Linux 是 一 个 开放 式 系统 , 可 以 在 网 络 上 找到 许多 现成 的 程序 和 工具 , 这 既 方便 了 用 户 
也 方便 了 黑客 , 因为 他 们 也 能 很 容易 地 找到 程序 和 工具 来 潜入 Linux 系统 , 或 者 盗 取 Linux 
系统 上 的 重要 信息 。 不 过 ， 只 要 仔细 设 定 Linux 的 各 种 系统 功能 ， 并 且 加 上 必要 的 安全 措 
施 ， 就 能 让 黑客 们 无 机 可 乘 。 


1. 仔细 设置 每 个 内 部 用 户 的 权限 


为 保护 Linux 网 络 系统 的 资源 ， 在 给 内 部 网 络 用 户 开设 账号 时 ， 要 仔细 设置 每 个 内 部 
用 户 的 权限 ， 一 般 应 遵循 “最 小 权限 ”原则 ， 也 就 是 仅 给 每 个 用 户 授予 完成 他 们 特定 任务 
所 必需 的 服务 器 访问 权限 。 虽 然 这 样 做 会 大 大 加 重 系 统管 理 员 的 管理 工作 量 ， 但 是 为 了 整 
个 网 络 系统 的 安全 还 是 应 该 坚持 遵守 这 个 原则 。 


2. 确保 用 户口 令 文件 /etc/shadow 的 安全 


对 于 网 络 系统 而 言 ， 口 令 是 比较 容易 出 问题 的 地 方 ， 作 为 系统 管理 员 应 告诉 用 户 在 设 
置 口令 时 要 使 用 安全 口令 (在 口令 序列 中 使 用 非 字 母 、 非 数字 等 特殊 字符 ) 并 适当 增加 口令 
的 长 度 ( 大 于 6 个 字符 )。 系 统管 理 员 要 保护 好 /etc/passwd 和 /etc/shadow 这 两 个 文件 的 安全 ， 
不 让 无 关 人 员 获 得 这 两 个 文件 , 这样 黑 客 利用 John 等 程序 对 /etc/passwd 和 /etc/shadow 文件 
进行 字典 攻击 以 获取 用 户口 令 的 企图 就 无 法 得 偿 。 系 统管 理 员 要 定期 用 John 等 程序 对 本 系 
统 的 /etc/passwd 和 /etc/shadow 文件 进行 模拟 字典 攻击 ， 一 旦 发 现 有 不 安全 的 用 户口 令 ， 要 
强制 用 户 立 即 修改 。 

字典 攻击 : 收集 好 密码 可 能 包含 的 字符 串 ， 然 后 通过 各 种 方式 组 合 ， 即 相当 于 从 字典 
中 查 密码 ， 逐 一 验证 。 

字典 软件 : 这 是 一 个 可 以 自动 编写 密码 的 软件 ， 它 的 功能 是 编写 密码 ， 是 结合 其 他 暴 
力 破解 软件 的 一 种 工具 。 生成 后 可 以 利用 流光 等 软件 ， 是 破解 密码 的 一 种 方式 ， 也 就 是 猜 
密码 ， 只 不 过 用 计算 机 来 完成 。 比 如 有 个 密码 要 猜测 ， 那 就 让 计算 机 程序 去 逐个 测试 ， 拿 
什么 去 测试 ， 就 是 字典 了 ， 在 文件 中 录入 一 些 字符 ， 比 如 一 个 文件 内 容 : 1 2 3 4， 那 计算 
机 就 先 从 1 开始 到 4， 如 12 13 14 等 。 
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3. 加 强 对 系统 运行 的 监控 和 记录 

Linux 网 络 系统 管理 员 应 对 整个 网 络 系统 的 运行 状况 进行 监控 和 记录 , 这 样 通过 分 析 记 
录 数 据 ， 可 以 发 现 可 疑 的 网 络 活动 ， 并 采取 措施 预先 阻止 今后 可 能 发 生 的 入 侵 行为 。 如 果 
入 侵 行为 已 经 实施 ， 则 可 以 利用 记录 数据 跟踪 和 识别 侵入 系统 的 黑客 。 

4. 制订 适当 的 数据 备份 计划 

没有 一 种 操作 系统 的 运转 是 完全 可 靠 的 ， 也 没有 一 种 安全 策略 是 万 无 一 失 的 ， 因 此 作 
为 Linux 系统 管理 员 ， 必 须 为 系统 制订 适当 的 数据 备份 计划 ， 充 分 利用 磁带 机 、 光 盘 刻录 
机 、 双 机 热 备 份 等 技术 手段 为 系统 保存 数据 备份 ， 使 系统 一 旦 遭 到 破坏 或 黑客 攻击 而 发 生 
瘫痪 时 ， 能 迅速 恢复 工作 ， 把 损失 降 到 最 小 。 

在 完成 Linux 系统 的 安装 以 后 应 该 对 整个 系统 进行 备份 ， 以 后 可 以 根据 这 个 备份 来 验 
证 系统 的 完整 性 ， 从 而 发 现 系统 文件 是 否 被 非法 算 改 过 。 如 果 发 生 系统 文件 已 经 被 破坏 的 
情况 ， 也 可 以 使 用 系统 备份 来 恢复 到 正常 的 状态 。 

1) CD-ROM 备份 

当前 最 好 的 系统 备份 介质 就 是 CD-ROM 光盘 , 备份 后 可 以 定期 将 系统 与 光盘 内 容 进 行 
比较 ， 以 验证 系统 的 完整 性 是 否 遭 到 破坏 。 如 果 对 安全 级 别 的 要 求 特别 高 ， 还 可 以 将 光盘 
设置 为 可 启动 的 并 且 将 验证 工作 作为 系统 启动 过 程 的 一 部 分 。 这样 只 要 可 以 通过 光盘 启动 ， 
就 说 明 系统 尚未 被 破坏 过 。 

如 果 创 建 了 一 个 只 读 的 分 区 ， 那 么 可 以 定期 从 光盘 映像 重新 装载 它们 。 即 使 像 /boot、 
/lib 和 /sbin 这 样 不 能 被 安装 成 只 读 的 分 区 ， 仍 然 可 以 根据 光盘 映像 来 检查 ， 甚 至 可 以 在 启 
动 时 从 另 一 个 安全 的 映像 重新 下 载 它们 。 

2) “其 他 方式 的 备份 

虽然 /etc 中 的 许多 文件 经 常会 变化 , 但 /etc 中 的 许多 内 容 仍然 可 以 放 到 光盘 上 用 于 系统 
完整 性 验证 。 其 他 不 经 常 进行 修改 的 文件 ， 可 以 备份 到 另 一 个 系统 (如 磁带 ) 或 压缩 到 一 个 
只 读 目录 中 。 这 种 办 法 可 以 在 使 用 光盘 映像 进行 验证 的 基础 上 再 进行 额外 的 系统 完整 性 
检查 。 

5. 保持 最 新 的 系统 核心 


由 于 Linux 流通 渠道 很 多 ， 而 且 经 常 有 更 新 的 程序 和 系统 补丁 出 现 ， 因 此 ， 为 了 加 强 
系统 安全 ， 一 定 要 经 常 更 新 系统 内 核 。 

Kemel 是 Linux 操作 系统 的 核心 ， 它 常 驻 内 存 ， 用 于 加 载 操作 系统 的 其 他 部 分 ， 并 实 
现 操 作 系 统 的 基本 功能 。 由 于 Kernel 控制 计算 机 和 网 络 的 各 种 功能 ， 因 此 ， 它 的 安全 性 对 
整个 系统 安全 至 关 重要 。 在 设 定 Kermel 的 功能 时 ， 只 选择 必要 的 功能 ， 千 万 不 要 将 所 有 功 
能 照 单 全 收 ， 否 则 会 使 Kemel 变 得 很 大 ， 既 占用 系统 资源 ， 也 给 黑客 留 下 可 乘 之 机 。 

在 Intemet 上 常常 有 最 新 的 安全 修补 程序 ，Linux 系统 管理 员 应 该 消息 灵通 ， 经 常 光顾 
安全 新 闻 组 ， 查 阅 新 的 修补 程序 。 


6. 定期 对 Linux 网 络 进行 安全 检查 


Linux 网 络 系统 的 运转 是 动态 变化 的 , 因此 对 它 的 安全 管理 也 是 变化 的 , 没有 固定 的 模 
式 可 循 ， 作 为 Linux 网 络 系统 的 管理 员 ， 在 为 系统 设置 了 安全 防范 策略 后 ， 应 定期 对 系统 


@_ 


算 进行 安全 检查 ， 并 尝试 对 自己 管理 的 服务 器 进行 攻击 ， 如 果 发 现 安全 机 制 中 的 漏洞 应 立即 
机 | 采取 补救 措施 ， 不 给 黑客 以 可 乘 之 机 。 


信 | 3.3.4 加 强 Linux 网 络 服务 器 的 管理 
安 可 以 采取 以 下 措施 ， 加 强 对 Linux 网 络 服务 器 的 管理 。 
1. 记录 对 Linux 系统 的 访问 


Linux 系统 管理 员 可 以 利用 记录 文件 和 记录 工具 记录 事件 , 可 以 每 天 查看 或 扫描 记录 文 
| 件 ， 这 些 文件 记录 了 系统 运行 的 所 有 信息 。 如 果 需 要 ， 还 可 以 把 高 优先 级 的 事件 提取 出 来 
传送 给 相关 人 员 处 理 ， 如 果 发 现 异常 可 以 立即 采取 措施 。 


2. 取消 不 必要 的 服务 


大 多 数 Linux 系统 安装 后 ， 各 种 不 同 的 服务 都 被 激活 ， 如 FTP、Telnet、UUCP、ntalk 
等 。 多 数 情 况 下 ， 其 中 有 些 服务 很 少 会 用 到 ， 让 它们 处 于 活动 状态 就 像 是 把 窗户 打开 让 盗 
贼 有 机 会 溜 进来 一 样 。 一 般 来 说 ， 除 了 HITP、SMTP、Temet 和 FTP 之 外 ， 其 他 服务 都 应 
该 取消 ， 诸 如 简单 文件 传输 协议 (TFTP)、 网 络 邮 件 存储 及 接收 所 用 的 imap/ipop 传输 协议 、 
搜索 资料 用 的 Gopher 以 及 用 于 时 间 同 步 的 Daytime 和 Time 等 。 

取消 不 必要 服务 的 方法 就 是 检查 /etc/inetd.conf 文件 ， 在 不 要 的 服务 前 加 上 “#” 号 ,， 然 
后 重启 inetd 后 台 程 序 ， 从 而 禁用 它们 。 另 外 ， 一 些 服务 (如 数据 库 服 务 器 ) 可 能 在 开机 过 程 
中 默认 为 启动 ， 可 以 通过 编辑 /etc/re.d/* 目 录 等 级 禁用 这 些 服务 。 许 多 有 经 验 的 管理 员 禁 用 
了 所 有 系统 服务 ， 只 留 下 SSH 通信 端口 。 


3. 慎 用 Telnet 服务 


用 Telnet 进行 远程 登录 时 ， 用 户 名 和 用 户 密码 是 明文 传输 的 ， 这 就 有 可 能 被 在 网 上 监 
听 的 其 他 用 户 所 截获 。 另 一 个 危险 是 黑客 可 以 利用 Telnet 登录 系统 ， 如 果 同 时 获取 了 超级 
用 户 密码 ， 则 对 系统 的 危害 将 是 灾难 性 的 。 因 此 ， 如 果 不 是 特别 需要 ， 不 要 开放 Telnet 服 
务 。 如 果 一 定 要 开放 Telnet 服务 ， 应 该 要 求 用 户 用 特殊 的 工具 软件 进行 远程 登录 ， 这 样 就 
可 以 在 网 上 传送 加 密 过 的 用 户 密 码 ， 以 免 密码 在 传输 过 程 中 被 黑客 截获 。 

还 有 一 些 报告 系统 状态 的 服务 ， 如 Finger、Efinger、Systat 和 Netstat 等 ， 虽 然 对 系统 
查 错 和 寻找 用 户 非常 有 用 ， 但 也 给 黑客 打开 了 方便 之 门 。 例 如 ， 黑 客 可 以 利用 Finger 服务 
查找 用 户 的 电话 、 使 用 目录 及 其 他 重要 信息 。 因 此 ， 很 多 Linux 系统 将 这 些 服务 全 部 或 部 
分 取消 ， 以 增强 系统 的 安全 性 。 

Inetd 除了 利用 /etc/inetd.conf 设置 系统 服务 项 之 外 , 还 利用 /etc/services 文件 查找 各 项 服 
务 所 使 用 的 端口 。 因 此 ， 用 户 必须 仔细 检查 该 文件 中 各 端口 的 设 定 ， 以 免 有 安全 漏洞 。 

在 Linux 中 有 两 种 不 同 的 服务 形态 : 一 种 是 仅 在 有 需要 时 才 执 行 的 服务 ， 如 Finger 服 
务 ; 另 一 种 是 一 直 在 执行 的 永 不 停顿 的 服务 。 这 类 服务 在 系统 启动 时 就 开始 执行 ， 因 此 不 
能 靠 修改 Inetd 来 停止 其 服务 ， 而 只 能 从 修改 /etc/re.d/rc[n].d/ 文 件 或 用 Run level editor 去 修 
改 它 。 提 供 文件 服务 的 NFS 服务 器 和 提供 NNTP 新 闻 服 务 的 news 都 属于 这 类 服务 ， 如 果 
没有 必要 ， 最 好 取消 这 些 服务 。 
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4. 合理 设置 NFS 服务 和 NIS 服务 


NFS(Network File System) 服 务 允 许 工 作 站 通过 网 络 共享 一 个 或 多 个 服务 器 输出 的 文 
件 。 但 对 于 配置 不 安全 的 NFS 服务 器 来 讲 ， 用 户 不 经 登录 就 可 以 阅读 或 者 更 改 存 储 在 NFS 
服务 器 上 的 文件 ， 使 得 NFS 服务 器 很 容易 受到 攻击 。 如 果 一 定 要 提供 NFS 服务 ， 要 确保 
NFS 服务 器 支持 Secure RPC(Secure Remote Procedure Call)， 以 便利 用 DES(Data Encryption 
Standard) 加 密 算法 和 指数 密 钥 交换 (Exponential Key Exchange) 技 术 验 证 每 个 NFS 请 求 的 用 
户 身份 。 

NIS(Network Information System) 服 务 是 一 个 分 布 式 数据 处 理 系 统 ， 它 使 网 络 中 的 计算 
机 通过 网 络 共 享 passwd 文件 、group 文件 、 主 机 表 文 件 和 其 他 共享 的 系统 资源 。NIS 服务 
也 有 漏洞 ， 在 NIS 系统 中 ， 恶 意 用 户 可 以 利用 自己 编写 的 程序 模仿 Linux 系统 中 的 ypserv 
响应 ypbind 的 请 求 ， 从 而 截获 用 户 的 密码 。 因 此 ，NIS 的 用 户 一 定 要 使 用 ypbind 的 secure 
选项 ， 并 且 不 接受 端口 号 小 于 1024( 非 特权 端口 ) 的 ypserv 响应 。 


5. 小 心 配置 FTP 服务 


FTP 服务 的 用 户 名 和 用 户 密码 也 是 明文 传输 的 。 因此 , 为 了 系统 的 安全 , 必须 禁止 root、 
bin、daemon、adm 等 特殊 用 户 对 FTP 服务 器 进行 远程 访问 ， 限 制 某 些 主机 不 能 连 入 FTP 
服务 器 ， 如 果 开 放 匿 名 FTP 服务 ， 则 任何 人 都 可 以 下 载 文件 有 时 还 可 以 上 传 文件 )， 因 此 ， 
除非 特别 需要 一 般 应 禁止 匿名 FTP 服务 。 


6. 合理 设置 POP-3 和 Sendmail 等 电子 邮件 服务 


对 一 般 的 POP-3 服务 来 讲 ， 电 子 邮 件 用 户 的 口令 是 按 明文 方式 传送 到 网 络 中 的 ， 黑 客 
可 以 轻易 截获 用 户 名 和 用 户 密码 。 要 想 解 决 这 个 问题 , 必须 安装 支持 加 密 传送 密码 的 POP-3 
服务 器 ( 即 支持 Authenticated POP 命令 )， 这 样 用 户 在 往 网 络 中 传送 密码 之 前 ， 可 以 先 对 密 
码 实 施加 密 。 

老 版 本 的 Sendmail 邮件 服务 器 程序 存在 安全 隐患 ， 为 确保 邮件 服务 器 的 安全 ， 应 尽 可 
能 安装 已 消除 安全 隐患 的 最 新 版 的 Sendmail 服务 器 软件 。 


7. 加 强 对 WWW 服务 器 的 管理 ， 提 供 安全 的 WWW 服务 


当 一 个 基于 Linux 系统 的 网 站 建立 好 之 后 ， 绝 大 部 分 用 户 是 通过 Web 服务 器 ， 利 用 
WWW 浏览 器 对 网 络 进行 访问 的 ,因此 必须 特别 重视 Web 服务 器 的 安全 , 无 论 采 用 哪 种 基 
于 HTTP 协议 的 Web 服务 器 软件 , 都 要 特别 关注 CGI(Common Gateway Interface) 脚 本 .CGI 
脚本 是 可 执行 程序 ,一般 存放 在 Web 服务 器 的 CGI-BIN 目录 下 面 , 在 配置 Web 服务 器 时 ， 
要 保证 CGI 可 执行 脚本 只 存放 于 CGI-BIN 目录 中 。 

8. 最 好 禁止 提供 Finger 服务 

在 Linux 系统 下 ， 使 用 finger 命令 ， 可 以 显示 本 地 或 远程 系统 中 目前 已 登录 用 户 的 详 
细 信 息 ， 黑 客 可 以 利用 这 些 信 息 增 大 侵入 系统 的 机 会 。 为 了 系统 的 安全 ， 最 好 禁止 提供 
Finger 服务 ， 即 从 /usr/bin 下 删除 finger 命令 。 如 果 要 保留 Finger 服务 ， 应 将 Finger 文件 更 
名 ， 或 修改 权限 为 只 允许 root 用 户 执行 finger 命令 。 


由 于 Linux 操作 系统 使 用 广泛 ， 又 公开 了 源 代 码 ， 因 此 是 被 广大 计算 机 用 户 研究 得 最 
彻底 的 操作 系统 ， 而 Linux 本 身 的 配置 又 相当 复杂 ， 按 照 前 面 的 安全 策略 和 保护 机 制 ， 可 
以 将 系统 的 风险 降 到 最 低 ， 但 不 可 能 彻底 消除 安全 漏洞 ， 作 为 Linux 系统 的 管理 员 ， 一 定 
要 有 安全 防范 意识 ， 定 期 对 系统 进行 安全 检查 ， 发 现 漏洞 要 立即 采取 措施 ， 不 给 黑客 以 可 
乘 之 机 。 


复习 思考 题 三 


一 、 填 空 题 
1. Windows NT 4 种 域 模型 为 单 域 模型 、 、 多 主 域 模型 和 模型 。 
2. 使 用 特殊 技术 对 系统 进行 攻击 ， 以 便 得 到 有 针对 性 的 信息 就 是 一 种 

攻击 。 


3. 攻击 是 指 通过 向 程序 的 缓冲 区 写 入 超出 其 长 度 的 内 容 ， 从 而 破坏 程 
序 的 堆栈 ， 使 程序 转 而 执行 其 他 的 指令 ， 以 达到 攻击 的 目的 。 

4. Windows NT 的 安全 管理 主要 包括 、 用 户 权限 规则 、 和 
域 管理 机 制 等 。 

二 、 单 项 选择 题 


网 络 访问 控制 可 分 为 自主 访问 控制 和 强制 访问 控制 两 大 类 。_@ 是 指 由 系统 对 用 户 所 
创建 的 对 象 进行 统一 的 限制 性 规定 。_@ 是 指 由 系统 提供 给 用 户 有 权 对 自身 所 创建 的 访问 
对 象 进行 访问 ， 并 可 将 对 这 些 对 象 的 访问 权 授予 其 他 用 户 和 从 授予 权限 的 用 户 收回 其 访问 
权限 。 用 户 名 /口令 、 权 限 安全 、 属 性 安全 等 都 属于 _@ .。 


(  ) Q@ A. 服务器 安全 控制 B. 检测 和 锁定 控制 
C. 自主 访问 控制 D. 强制 访问 控制 

( ) @ A. 服务 器 安全 控制 B. 检测 和 锁定 控制 
C. 自主 访问 控制 D. 强制 访问 控制 

( ) @@ A. 服务 器 安全 控制 B. 检测 和 锁定 控制 
C. 自主 访问 控制 D. 强制 访问 控制 

三 、 简 答题 

1. 简 述 漏洞 的 概念 。 

2. 漏洞 对 操作 系统 有 什么 影响 ? 

3. 操作 系统 为 什么 会 有 安全 问题 ? 

4. 什么 是 访问 控制 ? 

5. Windows Server 2003 如 何 设置 安全 的 密码 ? 

6. Windows Server 2003 如 何 实现 身份 认证 ? 

7. Linux 网 络 系统 可 能 受到 的 攻击 有 哪些 ? 

8. Linux 网 络 系统 如 何 实现 单一 登录 ? 
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学 习 目 标 
无 论 数 据 处 于 存储 状态 还 是 处 于 传输 状态 ， 都 可 能 会 受到 安全 威胁 。 要 保证 企 事业 单 
位 的 业务 持续 成 功 地 运作 ， 就 要 保护 数据 库 系统 中 的 数据 安全 。 通 过 本 章 的 学 习 ， 读 者 应 
掌握 以 下 内 容 : 
@ 数据库 系统 特性 及 其 安全 。 
数据 库 的 安全 特性 。 
数据 库 的 安全 保护 。 
数据 的 完整 性 。 
数据 备份 和 数据 恢复 。 
数据 容 灾 。 


4.1 数据 库 安全 概述 


保证 网 络 系统 中 数据 安全 的 主要 任务 就 是 使 数据 免 受 各 种 因素 的 影响 ， 保 护 数据 的 完 
整 性 、 保 密 性 和 可 用 性 。 人 为 错误 、 硬 盘 损 毁 、 计 算 机 病毒 、 自 然 灾难 等 都 有 可 能 造成 数 
据 库 中 数据 的 丢失 ， 给 企 事业 单位 造成 无 可 估量 的 损失 。 例 如 ， 如 果 丢 失 了 系统 文件 、 客 
户 资料 、 技 术 文档 、 人 事 档 案 文 件 、 财 务 账目 文件 等 ， 企 事业 单位 的 业务 将 难以 正常 进行 。 
因此 ， 所 有 的 企 事业 单位 管理 者 都 应 采取 有 效 保护 数据 库 的 措施 ， 使 得 灾难 发 生 后 ， 能 够 
尽快 地 恢复 系统 中 的 数据 ， 恢 复 系统 的 正常 运行 。 

为 了 保护 数据 安全 ， 可 以 采用 很 多 安全 技术 和 措施 。 这 些 技术 和 措施 主要 有 数据 完整 
性 技术 、 数 据 备份 和 恢复 技术 、 数 据 加 密 技术 、 访 问 控制 技术 、 用 户 身份 验证 技术 、 数 据 
的 真 伪 鉴别 技术 和 并 发 控制 技术 等 。 


4.1.1 数据 库 安 全 的 概念 


数据 库 安全 是 指数 据 库 的 任何 部 分 都 没有 受到 侵害 ， 或 没有 受到 未 经 授权 的 存 取 和 修 
改 。 数据 库 安全 性 问题 一 直 是 数据 库 管 理 员 所 关心 的 问题 。 


1. 数据 库 安全 


数据 库 就 是 一 种 结构 化 的 数据 仓库 。 人 们 时 刻 都 在 和 数据 打交道 ， 如 存储 在 个 人 掌上 
计算 机 (PDA) 中 的 数据 、 家 庭 预算 的 电子 数据 表格 等 。 对 于 少量 、 简 单 的 数据 ， 如 果 与 其 
他 数据 之 间 的 关联 较 少 或 没有 关联 ， 则 可 将 它们 简单 地 存放 在 文件 中 。 普 通 记 录 文 件 没 有 
必要 的 结构 来 系统 地 反映 数据 间 的 复杂 关系 ， 也 不 能 强制 定义 个 别 数据 对 象 。 但 是 企业 数 
据 都 是 相关 联 的 ， 不 可 能 使 用 普通 的 记录 文件 来 管理 大 量 的 、 复 杂 的 系列 数据 ， 比 如 银行 
的 客户 数据 或 者 生产 厂商 的 生产 控制 数据 等 。 


数据 库 安全 主要 包括 数据 库 系 统 的 安全 性 和 数据 库 数据 的 安全 性 两 层 含义 。 

(1) 数据 库 系 统 的 安全 性 。 数 据 库 系统 的 安全 性 是 指 在 系统 级 控制 数据 库 的 存 取 和 使 
用 的 机 制 , 应 尽 可 能 地 堵 住 潜在 的 各 种 漏洞 ， 防止 非法 用 户 利用 这 些 漏 洞 侵入 数据 库 系 统 ; 
保证 数据 库 系 统 不 因 软 、 硬 件 故障 及 灾害 的 影响 而 不 能 正常 运行 。 数 据 库 系统 安全 包括 : 
硬件 运行 安全 ;物理 控制 安全 ;操作 系统 安全 ; 用 户 有 连接 数据 库 的 授权 ;， 灾害、 故障 
恢复 。 

(2) 数据 库 数据 的 安全 性 。 数 据 库 数据 的 安全 性 是 指 在 对 象 级 控制 数据 库 的 存 取 和 使 
用 的 机 制 ， 哪 些 用 户 可 存 取 指定 的 模式 对 象 及 在 对 象 上 允许 有 哪些 操作 类 型 。 数 据 库 数 据 


| 安全 包括 : 有 效 的 用 户 名 /口令 鉴别 ; 用 户 访问 权限 控制 ， 数据 存 取 权 限 、 方 式 控制 ;审计 


跟踪 ; 数据 加 密 ; 防止 电磁 信息 泄露 。 

数据 库 数 据 的 安全 措施 应 能 确保 数据 库 系统 关闭 后 ， 当 数据 库 数 据 存储 媒体 被 破坏 或 
当 数 据 库 用 户 误 操作 时 ， 数 据 库 数据 信息 不 会 丢失 。 对 于 数据 库 数据 的 安全 性 问题 ， 数 据 
库 管理 员 可 以 采用 系统 双 机 热 备份 功能 、 数 据 库 的 备份 和 恢复 、 数 据 加 密 、 访 问 控制 等 
措施 。 


2. 数据 库 安全 管理 原则 


一 个 强大 的 数据 库 安全 系统 应 当 确保 其 中 信息 的 安全 性 ， 并 对 其 进行 有 效 的 管理 和 控 
制 。 下 面 几 项 数据 库 管理 规则 有 助 于 企业 在 安全 规则 中 实现 对 数据 库 的 安全 保护 。 

1) ”管理 细 分 和 委派 原则 

在 数据 库 工作 环境 中 , 数据 库 管理 员 一 般 都 是 独立 执行 数据 库 的 管理 和 其 他 事务 工作 ， 
一 旦 出 现 岗位 变换 ， 将 带 来 一 连 串 的 问题 和 效率 低下 。 通 过 管理 责任 细 分 和 任务 委派 ， 数 
据 库 管理 员 可 从 常规 事务 中 解脱 出 来 ， 把 精力 更 多 地 放 在 解决 数据 库 执行 效率 及 与 管理 相 
关 的 重要 问题 上 ， 从 而 保证 任务 的 高 效 完成 。 企 业 应 设法 通过 功能 和 可 信赖 的 用 户 群 进 一 
步 细 分 数据 库 管理 的 责任 和 角色 。 

2) ”最 小 权限 原则 

企业 必须 本 着 “最 小 权限 ”原则 ， 从 需求 和 工作 职能 两 方面 严格 限制 对 数据 库 的 访问 。 
通过 角色 的 合理 运用 ，“ 最 小 权限 ”可 确保 数据 库 功 能 限制 和 特定 数据 的 访问 。 

3) ”账号 安全 原则 

对 于 每 一 个 数据 库 连 接 来 说 ， 用 户 账号 都 是 必需 的 。 账 号 应 遵循 传统 的 用 户 账号 管理 
方法 来 进行 安全 管理 ， 这 包括 密码 的 设 定 和 更 改 、 账 号 锁定 功能 、 对 数据 提供 有 限 的 访问 
权限 、 禁 止 休眠 状态 的 账户 、 账 户 的 生命 周期 等 。 

4) 有 效 审计 原则 

数据 库 审计 是 数据 库 安全 的 基本 要 求 ， 它 可 用 来 监视 各 用 户 对 数据 库 施加 的 操作 。 企 
业 应 针对 自己 的 应 用 和 数据 库 活 动 定 义 审计 策略 。 条 件 允 许 的 地 方 可 采取 智能 审计 ， 这 样 
不 仅 能 节约 时 间 ， 而 且 能 减少 执行 审计 的 范围 和 对 象 。 通 过 智能 限制 日 志 大 小 ， 还 能 突出 
更 加 关键 的 安全 事件 。 
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4.1.2 ”数据 库 管理 系统 及 特性 
1. 数据 库 管理 系统 简介 


数据 库 管 理 系统 DBMS) 已 经 发 展 了 近 20 年 。 人 们 提出 了 许多 数据 模型 ， 并 一 一 得 以 
实现 ， 其 中 比较 重要 的 是 关系 模型 。 在 关系 型 数据 库 中 ， 数 据 项 保存 在 行 中 ， 文 件 就 像 是 
一 个 表 。 关 系 被 描述 成 不 同 数据 表 间 的 匹配 关系 。 区 别 关 系 模型 和 网 络 及 分 级 型 数据 库 重 
要 的 一 点 就 是 数据 项 关系 可 以 被 动态 地 描述 或 定义 ， 而 不 需要 因 结 构 改变 而 重新 加 载 数 
据 库 。 

早 在 1980 年 , 数据 库 市 场 就 被 关系 型 数据 库 管理 系统 所 占领 。 这 个 模型 基于 一 个 可 靠 
的 基础 ， 可 以 简单 并 恰当 地 将 数据 项 描述 成 为 表 (Table) 中 的 记录 行 (Raw)。 关 系 模型 第 一 次 
广泛 地 推行 是 在 1980 年 , 由 于 当时 一 种 标准 的 数据 库 访问 程序 语言 被 开发 ， 这 种 语言 被 称 
作 结 构 化 查询 语言 (SQL)。 今 天 ， 成 二 上 万 使 用 关系 型 数据 库 的 应 用 程序 已 经 被 开发 出 来 ， 
如 跟踪 客户 端 处 理 的 银行 系统 、 仓 库 货 物 管理 系统 、 客 户 关 系 管理 (CRM) 系 统 和 人 力 资源 
管理 系统 等 。 由 于 数据 库 保 证 了 数据 的 完整 性 ， 企 业 通常 将 他 们 的 关键 业务 数据 存放 在 数 
据 库 中 。 因 此 保护 数据 库 安全 、 避 免 错 误 和 防止 数据 库 故障 已 经 成 为 企业 所 关注 的 重点 。 


2. 数据 库 管理 系统 的 安全 功能 


DBMS 是 专门 负责 数据 库 管理 和 维护 的 计算 机 软件 系统 。 它 是 数据 库 系 统 的 核心 ， 不 
仅 负责 数据 库 的 维护 工作 ， 还 能 保护 数据 库 的 安全 性 和 完整 性 。 

DBMS 是 近似 于 文件 系统 的 软件 系统 ， 通 过 它 应 用 程序 和 用 户 可 以 取得 所 需 的 数据 。 
然而 ， 与 文件 系统 不 同 ，DBMS 定义 了 所 管理 的 数据 之 间 的 结构 和 约束 关系 ， 且 提供 了 一 
些 基 本 的 数据 管理 和 安全 功能 。 

1) “数据 的 安全 性 

在 网 络 应 用 上 ， 数 据 库 必 须 是 一 个 可 以 存储 数据 的 安全 地 方 。DBMS 能 够 提供 有 效 的 
备份 和 恢复 功能 ， 来 确保 在 故障 和 错误 发 生 后 ， 数 据 能 够 尽快 地 恢复 并 被 应 用 所 访问 。 对 
于 一 个 企 事业 单位 来 说 ， 把 关键 的 和 重要 的 数据 存放 在 数据 库 中 ， 这 就 要 求 DBMS 必须 能 
够 防止 未 授权 的 数据 访问 。 

只 有 数据 库 管 理 员 对 数据 库 中 的 数据 拥有 完全 的 操作 权限 , 并 可 以 规定 各 用 户 的 权限 ， 
DBMS 保证 对 数据 的 存 取 方法 是 唯一 的 。 每 当 用 户 想 要 存 取 敏 感 数 据 时 ，DBMS 就 进行 安 
全 性 检查 。 在 数据 库 中 ， 对 数据 进行 各 种 类 型 的 操作 (检索 、 修 改 、 删 除 等 )] 时 ，DBMS 都 
可 以 对 其 实施 不 同 的 安全 检查 。 

2) “数据 的 共享 性 

一 个 数据 库 中 的 数据 不 仅 可 以 为 同一 企业 或 组 织 内 部 的 各 个 部 门 所 共享 ， 也 可 为 不 同 
组 织 、 不 同 地 区 甚至 不 同 国家 的 多 个 应 用 和 用 户 同时 进行 访问 ， 而 且 还 要 不 影响 数据 的 安 
全 性 和 完整 性 ， 这 就 是 数据 共享 。 数 据 共享 是 数据 库 系统 的 目的 ， 也 是 它 的 一 个 重要 特点 。 

数据 库 中 数据 的 共享 主要 体现 在 以 下 几 个 方面 。 

(1) 不 同 的 应 用 程序 可 以 使 用 同一 个 数据 库 。 

(2) 不 同 的 应 用 程序 可 以 在 同一 时 刻 去 存 取 同一 个 数据 。 

(3) 数据 库 中 的 数据 不 但 可 供 现 有 的 应 用 程序 共享 ， 还 可 为 新 开发 的 应 用 程序 使 用 。 


(4) 应 用 程序 可 用 不 同 的 程序 设计 语言 编号， 它们 可 以 访问 同一 个 数据 库 。 

3) 数据 的 结构 化 

基于 文件 的 数据 的 主要 优势 就 在 于 它 利 用 了 数据 结构 。 数 据 库 中 的 文件 相互 联系 ， 并 
在 整体 上 服从 一 定 的 结构 形式 。 数 据 库 具 有 复杂 的 结构 ， 不 仅 是 因为 它 拥有 大 量 的 数据 ， 
同时 也 因为 在 数据 之 间 和 文件 之 间 存 在 着 种 种 联系 。 数 据 库 的 结构 使 开发 者 避免 了 针对 每 
一 个 应 用 都 需要 重新 定义 数据 逻辑 关系 的 过 程 。 

4) ”数据 的 独立 性 

数据 的 独立 性 就 是 数据 与 应 用 程序 之 间 不 存在 相互 依赖 关系 , 也 就 是 数据 的 逻辑 结构 、 
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DBMS 存在 的 理由 就 是 为 了 在 数据 组 织 和 用 户 的 应 用 之 间 提 供 某 种 程度 的 独立 性 。 数 据 库 
系统 的 数据 独立 性 可 分 为 物理 独立 性 和 逻辑 独立 性 两 个 方面 。 

(1) 物理 独立 性 。 数 据 库 物 理 结构 的 变化 不 影响 数据 库 的 应 用 结构 ， 从 而 也 就 不 影响 
其 相应 的 应 用 程序 。 这 里 的 物理 结构 是 指数 据 库 的 物理 位 置 、 物 理 设备 等 。 

(2) 逻辑 独立 性 。 数 据 库 逻 辑 结构 的 变化 不 影响 用 户 的 应 用 程序 ， 修 改 或 增加 数据 类 
型 、 改 变 各 表 之 间 的 联系 等 都 不 会 导致 应 用 程序 的 修改 。 

以 上 两 种 数据 独立 性 都 要 依靠 于 DBMS 来 实现 。 到 目前 为 止 ， 物 理 独立 性 已 经 实现 ， 
但 逻辑 独立 性 实现 起 来 非常 困难 。 因 为 数据 结构 一 旦 发 生变 化 ， 一 般 情况 下 ， 相 应 的 应 用 
程序 都 要 进行 或 多 或 少 的 修改 。 

5) ”其 他 安全 功能 

DBMS 除了 具有 一 些 基本 的 数据 库 管理 功能 外 ， 在 安全 性 方面 ， 它 还 具有 以 下 功能 。 

(1) 保证 数据 的 完整 性 ， 抵 御 一 定 程度 的 物理 破坏 ， 能 维护 和 提交 数据 库 内 容 。 

(2) 实施 并 发 控制 ， 避 免 数据 的 不 一 致 性 。 

(3) 数据 库 的 数据 备份 与 数据 恢复 。 

(4) 能 识别 用 户 、 分 配 授 权 和 进行 访问 控制 ， 包 括 用 户 的 身份 识别 和 验证 。 


3. 数据 库 事务 


“事务 ”是 数据 库 中 的 一 个 重要 概念 ， 是 一 系列 操作 过 程 的 集合 ， 也 是 数据 库 数据 操 
作 的 并 发 控制 单位 。 一 个 “事务 ”就 是 一 次 活动 所 引起 的 一 系列 的 数据 库 操作 。 例 如 ， 一 
个 会 计 “ 事 务 ” 可 能 是 由 读 取 借方 数据 、 减 去 借方 记录 中 的 借款 数量 、 重 写 借方 记录 、 读 
取 贷 方 记录 、 在 贷方 记录 的 数量 加 上 从 借方 扣除 的 数量 、 重 写 贷方 记录 、 写 一 条 单独 的 记 
录 来 描述 这 次 操作 以 便 日 后 审计 等 操作 组 成 。 所 有 这 些 操作 组 成 了 一 个 “事务 ”， 描 述 了 
一 个 业务 动作 。 无 论 借方 的 动作 还 是 贷方 的 动作 ， 哪 一 个 没有 被 执行 ， 数 据 库 都 不 会 反映 
该 业务 执行 的 正确 性 。 

DBMS 在 数据 库 操作 时 对 “事务 ”进行 定义 ， 要 么 一 个 “事务 ”应 用 的 全 部 操作 结果 
都 反映 在 数据 库 中 (全 部 完成 )， 要 么 就 一 点 都 没有 反映 在 数据 库 中 (全 部 撤除 )， 数 据 库 回 到 
该 次 事务 操作 的 初始 状态 。 这 就 是 说 ， 一 个 数据 库 “ 事 务 ” 序 列 中 的 所 有 操作 只 有 两 种 结 
果 : 全 部 执行 和 全 部 撤除 。 因 此 ，“ 事 务 ” 是 不 可 分 割 的 单位 。 

上 述 会 计 “ 事 务 ” 例 子 包含 了 两 个 数据 库 操作 : 从 借方 数据 中 扣除 资金 ， 在 贷方 记录 
中 加 入 这 部 分 资金 。 如 果 系 统 在 执行 该 “事务 ”的 过 程 中 崩溃 ， 而 此 时 已 修改 完毕 借方 数 
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据 ， 但 还 没有 修改 贷方 数据 ， 资 金 就 会 在 此 时 物化 。 如 果 把 这 两 个 步骤 合并 成 一 个 事务 命 
令 ， 这 在 数据 库 系 统 执行 时 ， 要 么 全 部 完成 ， 要 么 一 点 都 不 完成 。 当 只 完成 一 部 分 时 ， 系 
统 是 不 会 对 已 做 的 操作 予以 响应 的 。 


4.1.3 ”数据库 系 统 的 缺陷 和 威胁 


大 多 数 企 业 、 组 织 及 政府 部 门 的 电子 数据 都 保存 在 各 种 数据 库 中 。 他 们 用 这 些 数 据 库 
保存 一 些 敏 感 信 息 ， 比 如 员工 薪水 、 医 疗 记 录 、 员 工 个 人 资料 等 。 数 据 库 服 务 器 还 掌握 着 
敏感 的 金融 数据 ， 包 括 交 易 记 录 、 商 业 事务 和 账号 数据 ， 战 略 上 的 或 者 专业 的 信息 ， 比 如 
专利 和 工程 数据 、 甚 至 市 场 计划 等 应 该 保护 起 来 防止 竞争 者 和 其 他 非法 者 获取 的 资料 。 

1. 数据 库 系统 的 缺陷 

常见 的 数据 库 的 安全 漏洞 和 缺陷 有 以 下 几 种 。 

(1) 数据 库 应 用 程序 通常 都 同 操作 系统 的 最 高 管理 员 密 切 相 关 ， 如 Oracle、Sybase 和 
SQL Server 数据 库 系统 都 涉及 用 户 账号 和 密码 、 认 证 系统 、 授 权 模块 和 数据 对 象 的 许可 控 
制 、 内 置 命令 (存储 过 程 )、 特 定 的 脚本 和 程序 语言 、 中 间 件 、 网 络 协议 、 补 本 和 服务 包 、 
数据 库 管理 和 开发 工具 等 。 许 多 数据 库 系统 管理 员 都 把 全 部 精力 投入 到 管理 这 些 复杂 的 系 
统 中 。 安 全 漏洞 和 不 当 的 配置 通常 会 造成 严重 的 后 果 ， 且 都 难以 发 现 。 

(2) 人 们 对 数据 库 安全 的 忽视 。 人 们 认为 只 要 把 网 络 和 操作 系统 的 安全 搞 好 了 ， 所 有 
的 应 用 程序 也 就 安全 了 。 现 在 的 数据 库 系 统 都 有 很 多 方面 被 误 用 或 者 有 漏洞 影响 到 安全 。 
而 且 常 用 的 关系 型 数据 库 都 是 “端口 ”型 的 ， 这 就 表示 任何 人 都 能 够 绕 过 操作 系统 的 安全 
机 制 ， 利 用 分 析 工 具 连 接 到 数据 库 上 。 

(3) 部 分 数据 库 机 制 威胁 网 络 低层 安全 。 例 如 ， 某 公司 的 数据 库 里 面 保存 着 所 有 技术 
文档 、 手 册 和 白皮书 ， 但 却 不 重视 数据 库 的 安全 。 这 样 ， 即 使 运行 在 一 个 非常 安全 的 操作 
系统 上 ， 入 侵 者 也 能 很 容易 通过 数据 库 获 得 操作 系统 权限 。 这 些 存储 过 程 能 提供 一 些 执 行 
操作 系统 命令 的 接口 ， 而 且 能 访问 所 有 的 系统 资源 ， 如 果 该 数据 库 服务 器 还 同 其 他 服务 器 
建立 着 信任 关系 ， 那 么 ， 入 侵 者 就 能 够 对 整个 域 产生 严重 的 安全 威胁 。 因 此 ， 少 数 数据 库 
安全 漏洞 不 仅 威胁 数据 库 的 安全 ， 也 威胁 到 操作 系统 和 其 他 可 信任 系统 的 安全 。 

(4) 安全 特性 缺陷 。 大 多 数 关系 型 数据 库 已 经 存在 10 多 年 了 ,都 是 成 熟 的 产品 。 但 IT 
业界 和 安全 专家 对 网 络 和 操作 系统 要 求 的 许多 安全 特性 在 多 数 关 系数 据 库 上 还 没有 被 
使 用 。 

(5) 数据 库 账号 密码 容易 泄露 。 多 数 数 据 库 提 供 的 基本 安全 特性 ， 都 没有 相应 机 制 来 
限制 用 户 必 须 选 择 健 壮 的 密码 。 许 多 系统 密码 都 能 给 入 侵 者 访问 数据 库 的 机 会 , 更 有 甚 者 ， 
有 些 密码 就 储存 在 操作 系统 的 普通 文本 文件 中 。 比 如 Oracle 内 部 密码 ， 储 存在 strxxx. crud 
文件 中 ， 其 中 xxx 是 Oracle 系统 ID 和 SID 号 。 该 密码 用 于 数据 库 启 动 进程 ， 提 供 完 全 访 
问 数据 库 资 源 功 能 ， 该 文件 在 Windows NT 中 需要 设置 权限 。Oracle 监听 进程 密码 保存 在 
文件 listener.ora 中 ， 入 侵 者 可 以 通过 这 个 弱点 进行 DoS 攻击 。 

(6) 操作 系统 后 门 。 多 数 数据 库 系统 都 有 一 些 特性 ， 来 满足 数据 库 管理 员 的 需要 ， 这 
些 也 成 为 数据 库 主 机 操作 系统 的 后 门 。 

(7) 木马 的 威胁 。 著 名 的 木马 能 够 在 密码 改变 存储 过 程 时 修改 密码 ， 并 能 告知 入 侵 者 。 


比如 ， 可 以 添加 几 行 信息 到 sp_password 中 ， 记 录 新 账号 到 库 表 中 ， 通 过 E-mail 发 送 
这 个 密码 ， 或 者 写 到 文件 中 以 后 使 用 等 。 

2. 数据 库 系统 的 威胁 形式 

对 数据 库 构 成 的 威胁 主要 有 自 改 、 损 坏 和 和 窍 取 3 种 表现 形式 。 

(1) 篡改 。 算 改 指 的 是 对 数据 库 中 的 数据 未 经 授权 进行 的 修改 ， 使 其 失去 原来 的 真实 
性 。 算 改 的 形式 具有 多 样 性 ， 但 有 一 点 是 明确 的 ， 就 是 在 造成 影响 之 前 很 难 发 现 它 。 算 改 
是 由 于 人 为 因素 产生 的 。 一 般 来 说 ， 发 生 这 种 人 为 威胁 的 原因 主要 有 个 人 利益 驱动 、 隐 藏 
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(2) 损坏 。 网 络 系统 中 数据 的 损坏 是 数据 库 安全 性 所 面临 的 一 个 威胁 。 其 表现 形式 是 
表 和 整个 数据 库 部 分 或 全 部 被 删除 、 移 走 或 破坏 。 产 生 这 种 威胁 的 原因 主要 有 破坏 、 恶 作 
剧 和 病毒 。 破 坏 往往 都 带 有 明确 的 作案 动机 ， 亚 作 剧 者 往往 是 出 于 爱好 或 好 奇 而 给 数据 库 
造成 损坏 ， 计 算 机 病毒 不 仅 对 系统 文件 进行 破坏 ， 也 对 数据 文件 进行 破坏 。 

(3) 窃取 。 窃 取 一 般 是 针对 敏感 数据 进行 的 。 窃 取 的 手法 除了 将 数据 复制 到 软盘 之 类 
的 可 移动 介质 上 外 ， 还 可 以 把 数据 打印 后 取 走 。 导 致 窃取 威胁 的 因素 有 工商 业 间 谍 、 不 满 
和 要 离开 的 员工 、 被 窃 的 数据 可 能 比 想象 中 的 更 有 价值 等 。 


3. 数据 库 系统 威胁 的 来 源 


数据 库 安全 的 威胁 主要 来 自 以 下 几 个 方面 。 

(1) 物理 和 环境 的 因素 。 如 物理 设备 的 损坏 、 设 备 的 机 械 和 电气 故障 、 火 灾 、 水 灾 以 
及 磁盘 磁带 丢失 等 。 

(2) 事务 内 部 故障 。 数 据 库 “事务 ”是 指数 据 操 作 的 并 发 控制 单位 ， 是 一 个 不 可 分 割 
的 操作 序列 。 数 据 库 事务 内 部 的 故障 多 发 生 于 数据 的 不 一 致 性 ， 主 要 表现 有 丢失 修改 、 不 
能 重复 读 、 无 用 数据 的 读 出 。 

(3) 系统 故障 。 系 统 故障 又 叫 软 故障 ， 是 指 系统 突然 停止 运行 时 造成 的 数据 库 故障 。 
这 些 故 障 不 破坏 数据 库 ， 但 影响 正在 运行 的 所 有 事务 ， 因 为 缓冲 区 中 的 内 容 会 全 部 丢失 ， 
运行 的 事务 将 非 正常 终止 ， 从 而 造成 数据 库 处 于 一 种 不 正确 的 状态 。 

(4) 介质 故障 。 介 质 故 障 又 称 硬 故障 ， 主 要 指 外 存储 器 故障 ， 如 磁盘 磁头 碰撞 、 瞬 时 
的 强 磁场 干扰 等 。 这 类 故障 会 破坏 数据 库 或 部 分 数据 库 ， 并 影响 正在 使 用 数据 库 的 所 有 
事务 。 

(5) 并 发 事件 。 在 数据 库 实现 多 用 户 共享 数据 时 ， 可 能 由 于 多 个 用 户 同时 对 一 组 数据 
的 不 同 访问 而 使 数据 出 现 不 一 致 现象 。 

(6) 人 为 破坏 。 某 些 人 为 了 某 种 目的 ， 故 意 破坏 数据 库 。 

(7) 病毒 与 黑客 。 病 毒 可 破坏 计算 机 中 的 数据 ， 使 计算 机 处 于 不 正确 或 竣 疾 状态， 黑 
客 是 一 些 精通 计算 机 网 络 和 软 、 硬 件 的 计算 机 操作 者 ， 他 们 往往 利用 非法 手段 取得 相关 授 
权 ， 非 法 地 读 取 甚至 修改 其 他 计算 机 数据 。 黑 客 的 攻击 和 系统 病毒 发 作 可 破坏 数据 保密 性 
和 数据 完整 性 。 

(8) 未 经 授权 非法 访问 或 非法 修改 数据 库 的 信息 ， 窃 取 数据 库 数 据 或 使 数据 失去 真 
实 性 。 

(9) 对 数据 不 正确 的 访问 引起 数据 库 中 数据 的 错误 。 
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(10) 网 络 及 数据 库 的 安全 级 别 不 能 满足 应 用 的 要 求 。 
(11) 网 络 和 数据 库 的 设置 错误 和 管理 混乱 造成 越权 访问 和 越权 使 用 数据 。 


4.2 数据 库 的 安全 特性 


为 了 保证 数据 库 数据 的 安全 可 靠 和 正确 有 效 ，DBMS 必须 提供 统一 的 数据 保护 功能 。 
数据 保护 也 称 为 数据 控制 ， 主 要 包括 数据 库 的 安全 性 、 完 整 性 、 并 发 控制 和 恢复 。 下 面 以 
多 用 户 数据 库 系 统 Oracle 为 例 ， 阐 述 数据 库 的 安全 特性 。 


4.2.1 数据 库 的 安全 性 


数据 库 的 安全 性 是 指 保护 数据 库 以 防止 不 合法 的 使 用 所 造成 的 数据 泄露 、 更 改 或 破坏 。 
在 数据 库 系统 中 有 大 量 的 计算 机 系统 数据 集中 存放 ， 为 许多 用 户 所 共享 ， 这 样 就 使 安全 问 
题 更 为 突出 。 在 一 般 的 计算 机 系统 中 ， 安 全 措施 是 一 级 一 级 设置 的 。 


1. 数据 库 的 存 取 控 制 


在 数据 库存 储 一 级 可 采用 密码 技术 ， 若 物理 存储 设备 失窃 ， 它 能 起 到 保密 作用 。 在 数 
据 库 系统 中 可 提供 数据 存 取 控制 ， 来 实施 该 级 的 数据 保护 。 

1) “数据 库 的 安全 机 制 

多 用 户 数据 库 系统 (如 Oracle) 提 供 的 安全 机 制 可 做 到 : 

(1) 防止 非 授权 的 数据 库存 取 。 

(2) 防止 非 授权 的 对 模式 对 象 的 存 取 。 

(3) 控制 磁盘 使 用 。 

(4) 控制 系统 资源 使 用 。 

(5) 审计 用 户 动作 。 

在 Oracle 服务 器 上 提供 了 一 种 任意 存 取 控 制 , 它 是 一 种 基于 特权 限制 信息 存 取 的 方法 。 
用 户 要 存 取 某 一 对 象 必须 有 相应 的 特权 授予 该 用 户 。 已 授权 的 用 户 可 任意 地 授权 给 其 他 
用 户 。 

Oracle 保护 信息 的 方法 采用 任意 存 取 控 制 来 限制 全 部 用 户 对 命名 对 象 的 存 取 。 用 户 对 
对 象 的 存 取 受 特权 控制 ， 一 种 特权 是 存 取 一 个 命名 对 象 的 许可 ， 为 一 种 规定 格式 。 

2) ”模式 和 用 户 机 制 

Oracle 使 用 多 种 不 同 的 机 制 管理 数据 库 安全 性 ， 其 中 有 模式 和 用 户 两 种 机 制 。 

(1) 模式 机 制 。 模 式 为 模式 对 象 的 集合 ， 模 式 对 象 如 表 、 视 图 、 过 程 和 包 等 。 

(2) 用 户 机 制 。 每 一 个 Oracle 数据 库 有 一 组 合法 的 用 户 ， 可 运行 一 个 数据 库 应 用 和 使 
用 该 用 户 连 接 到 定义 该 用 户 的 数据 库 。 当 建立 一 个 数据 库 用 户 时 ， 对 该 用 户 建立 一 个 相应 
的 模式 ， 模 式 名 与 用 户 名 相同 。 一 旦 用 户 连接 一 个 数据 库 ， 该 用 户 就 可 存 取 相 应 模式 中 的 
全 部 对 象 ， 一 个 用 户 仅 与 同名 的 模式 相 联系 ， 所 以 用 户 和 模式 是 类 似 的 。 


i 
算 2. 特权 和 角色 


和 

网 1) ”特权 

党 特权 是 执行 一 种 特殊 类 型 的 SQL 语句 或 存 取 另 一 用 户 对 象 的 权力 , 有 系统 特权 和 对 象 
点 | 特权 两 类 。 

区 (D 系统 特权 。 系 统 特 权 是 执行 一 种 特殊 动作 或 者 在 对 象 类 型 上 执行 一 种 特殊 动作 的 


(2) 


权力 。 系 统 特权 可 授权 给 用 户 或 角色 。 系 统 可 将 授予 用 户 的 系统 特权 授 给 其 他 用 户 或 角色 ， 
同样 ， 系 统 也 可 从 那些 被 授权 的 用 户 或 角色 处 收回 系统 特权 。 


对 象 特权 。 对 象 特权 是 指 在 表 、 视 图 、 序 列 、 过 程 、 函 数 或 包 上 执行 特殊 动作 的 


| 权利。 对 于 不 同类 型 的 对 象 ， 有 不 同类 型 的 对 象 特权 。 


2) 


角色 


角色 是 相关 特权 的 命名 组 。 数 据 库 系统 利用 角色 可 更 容易 地 进行 特权 管理 。 


(1) 
© 


© 
® 
@® 
© 


角色 管理 的 优点 。 
减少 特权 管理 。 
动态 特权 管理 。 
特权 的 选择 可 用 性 。 
应 用 可 知性 。 
专门 的 应 用 安全 性 。 


一 般 地 ， 建 立 角色 有 两 个 目的 : 一 是 为 数据 库 应 用 管理 特权 ; 二 是 为 用 户 组 管理 特权 。 
相应 的 角色 分 别称 为 应 用 角色 和 用 户 角色 。 


© 


应 用 角色 是 系统 授予 的 运行 一 组 数据 库 应 用 所 需 的 全 部 特权 。 一 个 应 用 角色 可 授 


予 其 他 角色 或 指定 用 户 。 一 个 应 用 可 有 几 种 不 同 角色 ， 具 有 不 同 特 权 组 的 每 一 个 角色 在 使 
用 应 用 时 可 进行 不 同 的 数据 存 取 。 


© 
(2) 


@@eg@ee 


用 户 角色 是 为 具有 公开 特权 需求 的 一 组 数据 库 用 户 而 建立 的 。 
数据 库 角色 的 功能 。 

一 个 角色 可 被 授予 系统 特权 或 对 象 特权 。 

一 个 角色 可 授权 给 其 他 角色 ， 但 不 能 循环 授权 。 

任何 角色 可 授权 给 任何 数据 库 用 户 。 

授权 给 一 个 用 户 的 每 一 角色 可 以 是 可 用 的 ， 也 可 是 不 可 用 的 。 

一 个 间接 授权 角色 (授权 给 另 一 角色 的 角色 ) 对 一 个 用 户 可 明确 其 可 用 或 不 可 用 。 
在 一 个 数据 库 中 ， 每 一 个 角色 名 是 唯一 的 。 


3. 审计 


审计 是 对 选 定 的 用 户 动作 的 监控 和 记录 ， 通 常用 于 审查 可 疑 的 活动 、 监 视 和 收集 关于 
指定 数据 库 活动 的 数据 。 


1) 
(1) 


Oracle 支持 的 3 种 审计 类 型 
语句 审计 。 语句 审计 是 指 对 某 种 类 型 的 SQL 语句 进行 的 审计 , 不 涉及 具体 的 对 象 。 


这 种 审计 既 可 对 系统 的 所 有 用 户 进行 ， 也 可 对 部 分 用 户 进 行 。 
(2) 特权 审计 。 特 权 审 计 是 指 对 执行 相应 动作 的 系统 特权 进行 的 审计 ， 不 涉及 具体 对 
象 。 这 种 审计 也 是 既 可 对 系统 的 所 有 用 户 进行 ， 也 可 对 部 分 用 户 进 行 。 
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(3) 对 象 审计 。 对 象 审计 是 指 对 特殊 模式 对 象 的 访问 情况 的 审计 ， 不 涉及 具体 用 户 ， 
是 监控 有 对 象 特权 的 SQL 语句 。 

2) ”Oracle 允许 的 审计 选择 范围 

(1) 审计 语句 的 成 功 执行 、 不 成 功 执行 ， 或 其 两 者 都 包括 。 

(2) 对 每 一 用 户 会 话 审计 语句 的 执行 审计 一 次 或 对 语句 的 每 次 执行 审计 一 次 。 

(3) 审计 全 部 用 户 或 指定 用 户 的 活动 。 

当 数 据 库 的 审计 是 可 能 时 ， 在 语句 执行 阶段 产生 审计 记录 。 审 计 记录 包含 有 审计 的 操 
作 、 用 户 执行 的 操作 、 操 作 的 日 期 和 时 间 等 信息 。 审 计 记录 可 存放 于 数据 字典 表 ( 称 为 审计 
记录 ) 或 操作 系统 审计 记录 中 。 


4.2.2 数据库 的 完整 性 


数据 库 的 完整 性 是 指 保护 数据 库 数据 的 正确 性 和 一 致 性 。 它 反映 了 现实 中 实体 的 本 来 
面貌 。 数 据 库 系统 要 提供 保护 数据 完整 性 的 功能 。 系 统 用 一 定 的 机 制 检 查 数 据 库 中 的 数据 
是 否 满足 完整 性 约束 条 件 。Oracle 应 用 于 关系 型 数据 库 的 表 的 数据 完整 性 有 下 列 类 型 。 

(1) 空 与 非 空 规则 。 在 插入 或 修改 表 的 行 时 允许 或 不 允许 包含 有 空 值 的 列 。 

(2) 唯一 列 值 规 则 。 人 允许 插入 或 修改 表 的 行 在 该 列 上 的 值 唯 一 。 

(3) 引用 完整 性 规则 。 

(4) 用 户 定义 规则 。 

Oracle 允许 定义 和 实施 每 一 种 类 型 的 数据 完整 性 规则 ， 如 空 与 非 空 规则 、 唯 一 列 值 规 
则 和 引用 完整 性 规则 等 ， 这 些 规 则 可 用 完整 性 约束 和 数据 库 触 发 器 来 定义 。 


1. 完整 性 约束 


1) ”完整 性 约束 条 件 

完整 性 约束 条 件 是 作为 模式 的 一 部 分 ， 对 表 的 列 定 义 的 一 些 规则 的 说 明 性 方法 。 具 有 
定义 数据 完整 性 约束 条 件 功 能 和 检查 数据 完整 性 约束 条 件 方法 的 数据 库 系 统 可 实现 对 数据 
库 完 整 性 的 约束 。 

完整 性 约束 有 数值 类 型 与 值 域 的 完整 性 约束 、 关 键 字 的 约束 、 数 据 联系 (结构 ) 的 约束 
等 。 这 些 约 束 都 是 在 稳定 状态 下 必须 满足 的 条 件 ， 叫 静态 约束 。 相 应 地 ， 还 有 动态 约束 ， 
指数 据 库 中 的 数据 从 一 种 状态 变 为 另 一 种 状态 时 ， 新 旧 数值 之 间 的 约束 ， 如 更 新 人 的 年 龄 
时 新 值 不 能 小 于 旧 值 等 。 

2) “完整 性 约束 的 优点 

利用 完整 性 约束 实施 数据 完整 性 规则 具有 以 下 优点 。 

(1) 定义 或 更 改 表 时 ， 不 需要 程序 设计 便 可 很 容易 地 编写 程序 并 可 消除 程序 性 错误 ， 
其 功能 由 Oracle 控制 。 

(2) 对 表 所 定义 的 完整 性 约束 被 存储 在 数据 字典 中 ， 所 以 由 任何 应 用 进入 的 数据 都 必 
须 遵守 与 表 相 关联 的 完整 性 约束 。 

(3) 具有 最 大 的 开发 能 力 。 当 由 完整 性 约束 所 实施 的 事务 规则 改变 时 ， 管 理 员 只 需 改 
变 完整 性 约束 的 定义 ， 所 有 应 用 自动 地 遵守 所 修改 的 约束 。 

(4) 完整 性 约束 存储 在 数据 字典 中 ,数据 库 应 用 可 利用 这 些 信息 ， 在 SQL 语句 执行 之 


Q@_ 


前 或 Oracle 检查 之 前 ， 就 可 立即 反馈 信息 。 
(5) 完整 性 约束 说 明 的 语义 被 清楚 地 定义 , 对 于 每 一 指定 的 说 明 规 则 可 实现 性 能 优化 。 
(6) 完整 性 约束 可 临时 地 使 其 不 可 用 ， 使 之 在 装 入 大 量 数 据 时 避免 约束 检索 的 开销 。 
当 数 据 库 装 入 完成 时 ， 完 整 性 约束 可 容易 地 使 其 可 用 ， 任 何 破坏 完整 性 约束 的 新 记录 都 可 
在 另外 的 表 中 列 出 。 


2. 数据 库 触发 器 


1) ”触发 器 的 定义 
数据 库 触发 器 是 使 用 非 说 明 方法 实施 的 数据 单元 操作 过 程 。 利 用 数据 库 触发 器 可 定义 


| 和 实施 任何 类 型 的 完整 性 规则 。 


Oracle 允许 定义 过 程 ， 当 对 相关 的 表 进行 msert、update 或 delete 语句 操作 时 ， 这 些 过 
程 被 隐 式 地 执行 ,这些 过 程 就 称 为 数据 库 触 发 器 。 触 发 器 类 似 于 存储 过 程 ， 可 包含 SQL 语 
句 和 PL/SQL 语句 ， 并 可 调用 其 他 的 存储 过 程 。 过 程 与 触发 器 的 差别 在 于 其 调用 方法 : 过 
程 由 用 户 或 应 用 显 式 地 执行 ， 而 触发 器 是 为 一 个 激发 语句 (insert、update、delete) 发 出 而 由 
Oracle 隐 式 地 触发 。 一 个 数据 库 应 用 可 隐 式 地 触发 存储 在 数据 库 中 的 多 个 触发 器 。 

2) ”触发 器 的 组 成 

一 个 触发 器 由 3 部 分 组 成 :触发 事件 或 语句 、 触 发 限制 和 触发 器 动作 。 触 发 事件 或 语 
句 是 指引 起 激发 触发 器 的 SQL 语句 ， 可 为 对 一 个 指定 表 的 insert、update 或 delete 语句 。 
触发 限制 是 指定 一 个 布尔 表达 式 ， 当 触发 器 激发 时 该 布尔 表达 式 必 须 为 真 。 触 发 器 作为 过 
程 ， 是 PL/SQL 块 ， 当 触发 语句 发 出 、 触 发 限制 计算 为 真 时 该 过 程 被 执行 。 

3) ”触发 器 的 功能 

在 许多 情况 下 触发 器 补充 了 Oracle 的 标准 功能 ， 以 提供 高 度 专用 的 数据 库 管 理 系 统 。 
一 般 触 发 器 用 于 实现 以 下 目的 : 

(1) 自动 地 生成 导出 列 值 。 

(2) 实施 复杂 的 安全 审核 。 

(3) 在 分 布 式 数据 库 中 实施 跨 节 点 的 完整 性 引用 。 

(4) 实施 复杂 的 事务 规则 。 

(5) 提供 透明 的 事件 记录 。 

(6) 提供 高 级 的 审计 。 

(7) 收集 表 存 取 的 统计 信息 。 


4.2.3 数据 库 的 并 发 控制 


数据 库 是 一 种 共享 资源 库 ， 可 为 多 个 应 用 程序 所 共享 。 在 许多 情况 下 ， 由 于 应 用 程序 
涉及 的 数据 量 可 能 很 大 ， 常 常会 涉及 输入 /输出 的 交换 。 为 了 有 效 地 利用 数据 库 资 源 ， 可 能 
多 个 程序 或 一 个 程序 的 多 个 进程 并 行 地 运行 ， 这 就 是 数据 库 的 并 发 操作 。 

在 多 用 户 数据 库 环境 中 ， 多 个 用 户 程序 可 并 行 地 存 取 数据 。 并 发 控制 是 指 在 多 用 户 的 
环境 下 ， 对 数据 库 的 并 行 操作 进行 规范 的 机 制 ， 其 目的 是 为 了 避免 数据 的 丢失 修改 、 无 效 
数据 的 读 出 与 不 可 重复 读数 据 等 ， 从 而 保证 数据 的 正确 性 与 一 致 性 。 并 发 控制 在 多 用 户 的 
模式 下 是 十 分 重要 的 ， 但 这 一 点 经 常 被 一 些 数据 库 应 用 人 员 所 忽视 ， 而 且 因 为 并 发 控制 的 
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层次 和 类 型 非常 丰富 和 复杂 ， 有 时 使 人 难以 抉择 , 不 清楚 如 何 衡量 并 发 控制 的 原则 和 途径 。 

1. 一 致 性 和 实时 性 

一 致 性 的 数据 库 就 是 指 并 发 数据 处 理 响 应 过 程 已 完成 的 数据 库 。 例 如 ， 一 个 会 计数 据 
库 ， 当 它 的 借方 记录 与 相应 的 贷方 记录 相 匹 配 的 情况 下 ， 它 就 是 数据 一 致 的 。 

一 个 实时 的 数据 库 就 是 指 所 有 的 事务 全 部 执行 完毕 后 才 响应 。 如 果 一 个 正在 运行 数据 
库 管理 的 系统 出 现 了 故障 而 不 能 继续 进行 数据 处 理 ， 原 来 事务 的 处 理 结果 还 存储 在 缓存 中 
而 没有 写 入 磁盘 文件 中 ， 当 系统 重新 启动 时 ， 系 统 数据 就 是 非 实时 性 的 。 

数据 库 日 志 用 来 在 故障 发 生 后 恢复 数据 库 时 保证 数据 库 的 一 致 性 和 实时 性 。 


2. 数据 的 不 一 致 现象 


事务 并 发 控制 不 当 ， 可 能 会 产生 丢失 修改 、 读 无 效 数据 、 不 可 重复 读 等 数据 不 一 致 
现象 。 
1) 丢失 修改 
丢失 数据 是 指 一 个 事务 的 修改 覆盖 了 另 一 个 事务 的 修改 ， 使 前 一 个 修改 丢失 。 比 如 两 
个 事务 五 和 丈 读 入 同一 数据 ， 丈 提交 的 结果 破坏 了 也 提交 的 数据 ， 使 7 对 数据 库 的 修改 
丢失 ， 造 成 数据 库 中 的 数据 错误 。 

2) ” 读 无 效 数据 

无 效 数据 的 读 出 是 指 不 正确 数据 的 读 出 。 比 如 事务 7 将 某 一 值 修改 , 然后 事务 丈 读 该 
值 ， 此 后 7 由 于 某 种 原因 撤销 对 该 值 的 修改 ， 这 样 就 造成 工读 取 的 数据 是 无 效 的 。 

3) 不 可 重复 读 

在 一 个 事务 范围 内 ， 两 个 相同 的 查询 却 返 回 了 不 同 数 据 ， 这 是 由 于 查询 时 系统 中 其 他 
事务 修改 的 提交 而 引起 的 。 比 如 事务 Ti 读 取 某 一 数据 ， 事 务 ZT 读 取 并 修改 了 该 数据 ，7T 
为 了 对 读 取 值 进行 检验 而 再 次 读 取 该 数据 ， 便 得 到 不 同 的 结果 。 

但 在 应 用 中 为 了 提高 并 发 度 ， 可 以 容忍 一 些 不 一 致 现象 。 例 如 ， 大 多 数 业务 经 适当 调 
整 后 可 以 容忍 不 可 重复 读 。 当 今 流行 的 关系 数据 库 系统 (如 Oracle、SQL Server 等 ) 是 通过 事 
务 隔离 与 封锁 机 制 来 定义 并 发 控制 所 要 达到 的 目标 的 ， 根 据 其 提供 的 协议 ， 可 以 得 到 几乎 
任何 类 型 的 合理 的 并 发 控制 方式 。 

并 发 控制 数据 库 中 的 数据 资源 必须 具有 共享 属性 。 为 了 充分 利用 数据 库 资源 ， 应 允许 
多 个 用 户 并 行 操作 数据 库 。 数 据 库 必须 能 对 这 种 并 行 操作 进行 控制 ， 以 保证 数据 在 不 同 的 
用 户 使 用 时 的 一 致 性 。 

3. 并 发 控制 的 实现 


并 发 控制 的 实现 途径 有 多 种 ， 如 果 DBMS 支持 ， 当 然 最 好 是 运用 其 自身 的 并 发 控制 能 
力 。 如 果 系 统 不 能 提供 这 样 的 功能 ， 可 以 借助 开发 工具 的 支持 ， 还 可 以 考虑 调整 数据 库 应 
用 程序 ， 有 的 时 候 可 以 通过 调整 工作 模式 来 避 开 这 种 会 影响 效率 的 并 发 操作 。 

并 发 控制 能 力 是 指 多 用 户 在 同一 时 间 对 相同 数据 同时 访问 的 能 力 。 一 般 的 关系 型 数据 
库 都 具有 并 发 控制 能 力 ， 但 是 这 种 并 发 功能 也 会 对 数据 的 一 致 性 带 来 危险 。 试 想 ， 若 有 两 
个 用 户 都 试图 访问 某 个 银行 用 户 的 记录 ， 并 同时 要 求 修 改 该 用 户 的 存款 余额 时 ， 情 况 将 会 
怎样 呢 ? 


4.2.4 数据 库 的 恢复 


当 使 用 一 个 数据 库 时 ， 总 希望 数据 库 的 内 容 是 可 靠 的、 正确 的 ， 但 由 于 计算 机 系统 的 
故障 (硬件 故障 、 软 件 故障 、 网 络 故 障 、 进 程 故障 和 系统 故障 等 ) 影 响 数据 库 系统 的 操作 ， 
影响 数据 库 中 数据 的 正确 性 ， 甚 至 破坏 数据 库 ， 使 数据 库 中 数据 全 部 或 部 分 丢失 。 因 此 当 
发 生 上 述 故 障 后 ， 和 希望 能 尽快 恢复 到 原 数据 库 状 态 或 重新 建立 一 个 完整 的 数据 库 ， 该 处 理 
称 为 数据 库 恢 复 。 数 据 库 恢复 子 系统 是 数据 库 管 理 系统 的 一 个 重要 组 成 部 分 。 具 体 的 恢复 
处 理 因 所 发 生 的 故障 类 型 所 影响 的 情况 和 结果 而 变化 。 


1. 操作 系统 备份 


不 管 为 Oracle 数据 库 设 计 什 么 样 的 恢复 模式 ， 数 据 库 的 数据 文件 、 日 志文 件 和 控制 文 
件 的 操作 系统 备份 都 是 绝对 需要 的 ， 它 是 保护 介质 故障 的 策略 。 操 作 系统 备份 分 为 完全 备 
份 和 部 分 备份 。 

1) “完全 备份 

完全 备份 将 构成 Oracle 数据 库 的 全 部 数据 库 文 件 、 在 线 日 志文 件 和 控制 文件 的 一 个 操 
作 系 统 备 份 。 一 个 完全 备份 在 数据 库 正常 关闭 后 进行 ， 不 能 在 实例 故障 后 进行 。 此 时 ， 所 
有 构成 数据 库 的 全 部 文件 是 关闭 的 ， 并 与 当前 状态 相 一 致 。 在 数据 库 打 开 时 不 能 进行 完全 
备份 。 由 完全 备份 得 到 的 数据 库 文件 在 任何 类 型 的 介质 恢复 模式 中 都 是 有 用 的 。 

2) ”部 分 备份 

部 分 备份 是 除 完全 备份 以 外 的 任何 操作 系统 的 备份 ， 可 在 数据 库 打 开 或 关闭 状态 下 进 
行 。 如 单个 表 空 间 中 全 部 数据 文件 的 备份 、 单 个 数据 文件 的 备份 和 控制 文件 的 备份 。 部 分 
备份 仅 对 在 归档 日 志方 式 下 运行 数据 库 有 用 ， 数 据 文件 可 由 部 分 备份 恢复 ， 在 恢复 过 程 中 
与 数据 库 其 他 部 分 一 致 。 

通过 正规 备份 ， 并 且 快 速 地 将 备份 介质 运送 到 安全 的 地 方 ， 数 据 库 就 能 够 在 大 多 数 的 
灾难 中 得 到 恢复 。 恢 复 文件 的 使 用 是 从 一 个 基点 的 数据 库 映 像 开始 ， 到 一 些 综合 的 备份 和 
日 志 。 由 于 不 可 预知 的 物理 灾难 ， 一 个 完全 的 数据 库 恢 复 ( 重 应 用 日 志 ) 可 以 使 数据 库 映 像 
恢复 到 尽 可 能 接近 灾难 发 生 的 时 间 点 的 状态 。 对 于 逻辑 灾难 ， 如 人 为 破坏 或 者 应 用 故障 等 ， 
数据 库 映像 应 该 恢复 到 错误 发 生前 的 那 一 点 。 

在 一 个 数据 库 的 完全 恢复 过 程 中 ， 基 点 后 所 有 日 志 中 的 事务 被 重新 应 用 ， 所 以 结果 就 
是 一 个 数据 库 映 像 反映 所 有 在 灾难 前 已 接受 的 事务 ， 而 没有 被 接受 的 事务 则 不 被 反映 。 数 
据 库 恢 复 可 以 恢复 到 错误 发 生前 的 最 后 一 个 时 刻 。 

2. 介质 故障 的 恢复 

介质 故障 是 当 一 个 文件 、 文 件 的 一 部 分 或 一 块 磁盘 不 能 读 或 不 能 写 时 出 现 的 故障 。 介 
质 故 障 的 恢复 有 以 下 两 种 形式 ， 由 数据 库 运行 的 归档 方式 决定 。 

(1) 如 果 数 据 库 是 可 运行 的 ， 它 的 在 线 日 志 仅 可 重用 但 不 能 归档 ， 此 时 介质 恢复 可 使 
用 最 新 的 完全 备份 的 简单 恢复 。 

(2) 如 果 数 据 库 可 运行 且 其 在 线 日 志 是 可 归档 的 ， 该 介质 故障 的 恢复 是 一 个 实际 恢复 
过 程 ， 需 重 构 受 损 的 数据 库 ， 恢 复 到 介质 故障 前 的 一 个 指定 事务 状态 。 
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不 管 采 用 哪 种 方式 , 介质 故障 的 恢复 总 是 将 整个 数据 库 恢复 到 故障 前 的 一 个 事务 状态 。 
如 果 数 据 库 是 在 归档 日 志方 式 下 运行 ， 可 采用 完全 介质 恢复 和 不 完全 介质 恢复 两 种 方式 
进行 。 

1) ”完全 介质 恢复 

完全 介质 恢复 可 恢复 全 部 丢失 的 修改 。 仅 当 所 有 必要 的 日 志 可 用 时 才 可 能 这 样 做 。 可 
使 用 不 同类 型 的 完全 介质 恢复 ， 这 要 取决 于 损坏 的 文件 和 数据 库 的 可 用 性 。 

(1) 关闭 数据 库 的 恢复 。 当 数据 库 可 被 装配 但 是 关闭 时 ， 如 完全 不 能 正常 使 用 ， 此 时 
可 进行 全 部 的 或 单个 损坏 数据 文件 的 完全 介质 恢复 。 

(2) 打开 数据 库 的 离线 表 空间 的 恢复 。 当 数据 库 是 打开 状态 时 ， 完 全 介质 恢复 可 以 处 
理 。 未 损坏 的 数据 库 表 空间 在 线 时 可 以 使 用 ， 而 当 受 损 空 间 离线 时 ， 其 所 有 数据 文件 可 作 
为 完全 介质 恢复 的 单位 。 

(3) 打开 数据 库 的 离线 表 空 间 的 单个 数据 文件 的 恢复 。 当 数据 库 是 打开 状态 时 ， 完 全 
介质 恢复 可 以 对 其 处 理 。 未 损坏 的 数据 库 表 空 间 处 于 在 线 状 态 时 ， 也 可 以 使 用 完全 介质 恢 
复 ， 而 受 损 的 表 空 间 处 于 离线 状态 时 ， 该 表 空 间 指 定 的 单个 受 损 数据 文件 可 被 恢复 。 

(4) 使 用 备份 控制 文件 的 恢复 。 当 控制 文件 的 所 有 复制 由 于 磁盘 故障 而 受 损 时 ， 可 使 
用 备份 控制 文件 进行 完全 介质 恢复 而 不 丢失 数据 。 

2) 不 完全 介质 恢复 

不 完全 介质 恢复 是 在 完全 介质 恢复 不 可 能 或 不 要 求 时 进行 的 介质 恢复 。 可 使 用 不 同类 
型 的 不 完全 介质 恢复 ， 重 构 受 损 的 数据 库 ， 使 其 恢复 到 介质 故障 前 或 用 户 出 错 前 事务 的 一 
致 性 状态 。 根 据 具体 受 损 数据 的 不 同 ， 可 采用 不 同 的 不 完全 介质 恢复 。 

(1) 基于 撤销 的 不 完全 介质 恢复 。 在 某 种 情况 下 ， 不 完全 介质 恢复 必须 被 控制 ， 数 据 
库 管 理 员 可 撤销 在 指定 点 的 操作 。 可 在 一 个 或 多 个 日 志 组 (在 线 的 或 归档 的 ) 已 被 介质 故障 
所 破坏 ， 不 能 用 于 恢复 过 程 时 使 用 基于 撤销 的 恢复 。 介 质 恢 复 必 须 控制 ， 在 使 用 最 近 的 、 
未 受 损 的 日 志 组 于 数据 文件 后 中 止 恢复 操作 。 

(2) 基于 时 间 和 修改 的 恢复 。 如 果 数 据 库 管 理 员 希望 恢复 到 过 去 的 某 个 指定 点 ， 不 完 
全 介质 恢复 是 理想 的 。 当 用 户 意 外 地 删除 一 个 表 ， 并 注意 到 错误 提交 的 估计 时 间 ， 数 据 库 
管理 员 可 立即 关闭 数据 库 ， 利 用 基于 时 间 的 恢复 ， 恢 复 到 用 户 错误 之 前 时 刻 。 当 出 现 系统 
故障 而 使 一 个 在 线 日 志文 件 的 部 分 被 破坏 时 ， 所 有 活动 的 日 志文 件 突然 不 能 使 用 ， 实 例 被 
中 止 ， 此 时 需要 利用 基于 修改 的 介质 恢复 。 在 这 两 种 恢复 情况 下 ， 不 完全 介质 恢复 的 终点 
可 由 时 间 点 或 系统 修改 号 (SCN) 来 指定 。 


4.3 ”数据 库 的 安全 保护 


目前 ， 计 算 机 大 批量 数据 存储 的 安全 问题 、 敏 感 数据 的 防 窃取 和 防 纂 改 问题 越 来 越 引 
起 人 们 的 重视 。 数 据 库 系统 作为 计算 机 信息 系统 的 核心 部 件 ， 数 据 库 文件 作为 信息 的 聚集 
体 ， 其 安全 性 是 非常 重要 的 。 因 此 ， 对 数据 库 数据 和 文件 进行 安全 保护 是 非常 必要 的 。 
4.3.1 数据 库 的 安全 保护 层次 

数据 库 系 统 的 安全 除 依赖 于 其 内 部 的 安全 机 制 外 ， 还 与 外 部 网 络 环境 、 应 用 环境 、 从 
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业 人 员 素质 等 因素 有 关 ， 因 此 ， 从 广义 上 讲 ， 数 据 库 系统 的 安全 框架 可 以 划分 为 以 下 3 个 
层次 。 

(1) 网 络 系统 层次 。 

(2) 操作 系统 层次 。 

(3) 数据 库 管理 系统 层次 。 

这 3 个 层次 构成 数据 库 系 统 的 安全 体系 ， 与 数据 库 安全 的 关系 是 逐 层 紧密 联系 的 ， 防 
范 的 重要 性 也 逐 层 加 强 ， 从 外 到 内 、 由 表 及 里 保证 数据 的 安全 。 


1. 网 络 系统 层次 安全 


从 广义 上 讲 , 数据库 的 安全 首先 依赖 于 网 络 系统 。 随 着 Intemet 的 发 展 和 普及 ， 越 来 越 
多 的 公司 将 其 核心 业务 向 互联 网 转移 ， 各 种 基于 网 络 的 数据 库 应 用 系统 纷纷 涌现 出 来 ， 面 
向 网 络 用 户 提供 各 种 信息 服务 。 可 以 说 ， 网 络 系统 是 数据 库 应 用 的 外 部 环境 和 基础 ， 数 据 
库 系统 要 发 挥 其 强大 的 作用 离 不 开 网 络 系统 的 支持 ， 数 据 库 系统 的 用 户 ( 如 异地 用 户 、 分 布 
式 用 户 ) 也 要 通过 网 络 才能 访问 数据 库 的 数据 。 网 络 系统 的 安全 是 数据 库 安全 的 第 一 道 屏 
障 ， 外 部 入 侵 首先 就 是 从 入 侵 网 络 系统 开始 的 。 网 络 入 侵 试图 破坏 信息 系统 的 完整 性 、 保 
密 性 或 可 信任 的 任何 网 络 活动 的 集合 。 

网 络 系统 开放 式 环境 面临 的 威胁 主要 有 欺骗 (Masquerade)、 重 发 Replay)、 报 文 修改 、 
拒绝 服务 (DoS)、 陷 阱 门 (Trapdoor)、 特 洛 伊 木 马 (Trojanhorse)、 应 用 软件 攻击 等 。 这 些 安全 
威胁 是 无 时 无 处 不 在 的 ， 因 此 必须 采取 有 效 的 措施 来 保障 系统 的 安全 。 


2. 操作 系统 层次 安全 


操作 系统 是 大 型 数据 库 系 统 的 运行 平台 ， 为 数据 库 系统 提供 了 一 定 程度 的 安全 保护 。 
目前 操作 系统 平台 大 多 为 Windows NT 和 UNIX， 安 全 级 别 通常 为 C2 级 。 主 要 安全 技术 有 
访问 控制 安全 策略 、 系 统 漏洞 分 析 与 防范 、 操 作 系 统 安全 管理 等 。 

访问 控制 安全 策略 用 于 配置 本 地 计算 机 的 安全 设置 ， 包 括 密码 策略 、 账 户 策略 、 审 核 
策略 、 了 王 安全 策略 、 用 户 权 限 分 配 、 资 源 属性 设置 等 ， 具 体 可 以 体现 在 用 户 账户 、 口 令 、 
访问 权限 和 审计 等 方面 。 


3. 数据 库 管 理 系统 层次 安全 


数据 库 系统 的 安全 性 在 很 大 程度 上 依赖 于 DBMS。 如 果 DBMS 的 安全 性 机 制 非常 完善 ， 
则 数据 库 系 统 的 安全 性 能 就 好 。 目 前 市 场 上 流行 的 是 关系 型 数据 库 管理 系统 ， 其 安全 性 功 
能 较 弱 ， 这 就 对 数据 库 系统 的 安全 性 存在 一 定 的 威胁 。 

由 于 数据 库 系 统 在 操作 系统 下 都 是 以 文件 形式 进行 管理 ， 因 此 入 侵 者 可 以 直接 利用 操 
作 系 统 漏洞 窃取 数据 库 文件 , 或 者 直接 利用 操作 系统 工具 非法 伪造 、 算 改 数 据 库 文件 内 容 。 

数据 库 管 理 系统 层次 安全 技术 主要 是 用 来 解决 这 些 问题 ， 即 当前 面 两 个 层次 已 经 被 突 
破 的 情况 下 仍 能 保障 数据 库 数据 的 安全 ， 这 就 要 求 数据 库 管理 系统 必须 有 一 套 强 有 力 的 安 
全 机 制 。 采 取 对 数据 库 文件 进行 加 密 处 理 是 解决 该 层次 安全 的 有 效 方法 。 因 此 ， 即 使 数据 
不 慎 泄 露 或 者 丢失 ， 也 难以 被 人 破译 和 阅读 。 
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4.3.2 数据库 的 审计 


对 于 数据 库 系统 ， 数 据 的 使 用 、 记 录 和 审计 是 同时 进行 的 。 审 计 的 主要 任务 是 对 应 用 
程序 或 用 户 使 用 数据 库 资 源 的 情况 进行 记录 和 审查 ， 一 旦 出 现 问题 ， 审 计 人 员 对 审计 事件 
记录 进行 分 析 ， 查 出 原因 。 因 此 ， 数 据 库 审计 可 作为 保证 数据 库 安 全 的 一 种 补救 措施 。 

安全 系统 的 审计 过 程 是 记录 、 检 查 和 回顾 与 系统 安全 相关 行为 的 过 程 。 通 过 对 审计 记 
录 的 分 析 ， 可 以 明确 责任 个 体 ， 追 查 违反 安全 策略 的 违规 行为 。 审 计 过 程 不 可 省 略 ， 审 计 
记录 也 不 可 更 改 或 删除 。 

由 于 审计 行为 将 影响 DBMS 的 存 取 速度 和 反馈 时 间 ， 因 此 ， 必 须 综合 考虑 安全 性 系统 
性 能 ， 按 需要 提供 配置 审计 事件 的 机 制 ， 以 允许 数据 库 管理 员 根 据 具体 系统 的 安全 性 和 性 
能 需求 做 出 选择 。 这 些 可 由 多 种 方法 实现 ， 如 扩充 、 打 开 / 关 闭 审计 的 SQL 语句 ， 或 使 用 
审计 掩 码 。 

数据 库 审计 有 用 户 审计 和 系统 审计 两 种 方式 。 

(1) 用 户 审计 。 进 行 用 户 审计 时 ，DBMS 的 审计 系统 记录 下 所 有 对 表 和 视图 进行 访问 
的 企图 ， 以 及 每 次 操作 的 用 户 名 、 时 间 、 操 作 代码 等 信息 。 这 些 信 息 一 般 都 被 记录 在 数据 
字典 中 ， 利 用 这 些 信 息 可 以 进行 审计 分 析 。 

(2) 系统 审计 。 系 统 审计 由 系统 管理 员 进 行 ， 其 审计 内 容 主要 是 系统 一 级 命令 及 数据 
库 客体 的 使 用 情况 。 

数据 库 系统 的 审计 工作 主要 包括 设备 安全 审计 、 操 作 审计 、 应 用 审计 和 攻击 审计 等 方 
面 。 设 备 安全 审计 主要 审查 系统 资源 的 安全 策略 、 安 全 保护 措施 和 故障 恢复 计划 等 ， 操 作 
审计 是 对 系统 的 各 种 操作 进行 记录 和 分 析 ; 应 用 审计 是 审计 建立 于 数据 库 上 整个 应 用 系统 
的 功能 、 控 制 逻辑 和 数据 流 是 否 正确 攻击 审计 是 指 对 已 发 生 的 攻击 性 操作 和 人 危害 系统 安 
全 的 事件 进行 检查 和 审计 。 

常用 的 审计 技术 有 静态 分 析 系统 技术 、 运 行 验证 技术 和 运行 结果 验证 技术 等 。 

为 了 真正 达到 审计 目的 ， 必 须 对 记录 了 数据 库 系统 中 所 发 生 过 的 事件 的 审计 数据 提供 
查询 和 分 析 手 段 。 具 体 而 言 ， 审 计 分 析 要 解决 特权 用 户 的 身份 鉴别 、 审 计数 据 的 查询 、 审 
计数 据 的 格式 、 审 计 分 析 工 具 的 开发 等 问题 。 


4.3.3 数据 库 的 加 密 保 护 


大 型 DBMS 的 运行 平台 (如 Windows NT 和 UNIX) 一 般 都 具有 用 户 注册 、 用 户 识 别 、 
任意 存 取 控制 (DAC)、 审 计 等 安全 功能 。 虽 然 DBMS 在 操作 系统 的 基础 上 增加 了 不 少 安全 
措施 (如 基于 权限 的 访问 控制 等 )， 但 操作 系统 和 DBMS 对 数据 库 文件 本 身 仍然 缺乏 有 效 的 
安全 保护 措施 。 有 经 验 的 网 上 黑客 也 会 绕 过 一 些 防范 屏障 ， 直 接 利用 操作 系统 工具 窃取 或 
算 改 数据 库 文件 内 容 ， 这 种 隐患 被 称 为 通 向 DBMS 的 “隐秘 通道 ”， 它 所 带 来 的 危害 一 般 
数据 库 用 户 难 以 觉察 。 

在 传统 的 数据 库 系统 中 ， 数 据 库 管 理 员 的 权力 至 高 无 上 ， 既 负责 各 项 系统 的 管理 工作 
(如 资源 分 配 、 用 户 授权 、 系 统 审计 等 )， 又 可 以 查询 数据 库 中 的 一 切 信息 。 为 此 ， 不 少 系 
统 通 过 各 种 方式 来 削弱 系统 管理 员 的 权力 。 

对 数据 库 中 存储 的 数据 进行 加 密 是 一 种 保护 数据 库 数据 安全 的 有 效 方法 。 数 据 库 的 数 
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据 加 密 一 般 是 在 通用 的 数据 库 管理 系统 之 上 ， 增 加 一 些 加 密 / 解 密 控 件 ， 来 完成 对 数据 本 身 
的 控制 。 与 一 般 通 信 中 加 密 的 情况 不 同 ， 数 据 库 的 数据 加 密 通 常 不 是 对 数据 文件 加 密 ， 而 
是 对 记录 的 字段 加 密 。 当 然 ， 在 数据 备份 到 离线 的 介质 上 送 到 异地 保存 时 ， 也 有 必要 对 整 
个 数据 文件 进行 加 密 。 

实现 数据 库 加 密 以 后 ， 各 用 户 (或 用 户 组 ) 的 数据 由 用 户 使 用 自己 的 密 钥 加 密 ， 数 据 库 
管理 员 对 获得 的 信息 无 法 随意 进行 解密 ， 从 而 保证 了 用 户 信息 的 安全 。 另 外 ， 通 过 加 密 ， 
数据 库 的 备份 内 容 成 为 密 文 ， 从 而 能 减少 因 备 份 介质 失窃 或 丢失 而 造成 的 损失 。 由 此 可 见 ， 
数据 库 加 密 对 于 企业 内 部 安全 管理 也 是 不 可 或 缺 的 。 

也 许 有 人 认为 ， 对 数据 库 加 密 后 会 严重 影响 数据 库 系统 的 效率 ， 使 系统 不 堪 重 负 。 事 


实 并 非 如 此 。 如 果 在 数据 库 客 户 端 进行 数据 加 /解密 运算 ， 对 数据 库 服务 器 的 负载 及 系统 运 


行 几乎 没有 影响 。 比 如 ， 在 普通 PC 上 ， 用 纯 软 件 实现 DES 加 密 算法 的 速度 超过 200KB/s， 
如 果 对 一 篇 1 万 个 汉字 的 文章 进行 加 密 ， 其 加 密 /解密 时 间 仅 需 V10s， 这 种 时 间 延 迟 用 户 几 
平 无 感觉 。 目前， 加 密 卡 的 加 密 /解密 速度 一 般 为 1Mb/s， 对 中 小 型 数据 库 系统 来 说 ， 这 个 
速度 即使 在 服务 器 端 进行 数据 的 加 密 / 解 密 运算 也 是 可 行 的 ， 因 为 一 般 的 关系 型 数据 项 都 不 
会 太 长 。 

1. 数据 库 加密 的 要 求 


一 个 良好 的 数据 库 加 密 系统 应 该 满足 以 下 一 些 基本 要 求 。 

1) “字段 加 密 

在 目前 条 件 下 ， 加 密 / 解 密 的 粒度 是 每 个 记录 的 字段 数据 。 如 果 以 文件 或 列 为 单位 进行 
加 密 ， 必 然 会 形成 密 钥 的 反复 使 用 ， 从 而 降低 加 密 系 统 的 可 靠 性 ， 或 者 因 加 密 / 解 密 时 间 过 
长 而 无 法 使 用 。 只 有 以 记录 的 字段 数据 为 单位 进行 加 密 /解密 , 才能 适应 数据 库 操作 的 需要 ， 
同时 进行 有 效 的 密 钥 管 理 并 完成 “一 次 一 密 钥 ” 的 密码 操作 。 

2) ” 密 钥 动态 管理 

数据 库 客体 之 间 隐 含 着 复杂 的 逻辑 关系 ， 一 个 逻辑 结构 可 能 对 应 着 多 个 数据 库 物 理 客 
体 ， 所 以 数据 库 加 密 不 仅 密 钥 量 大 ， 而 且 组 织 和 存储 工作 较 复 杂 ， 需 要 对 密 钥 实 行动 态 
管理 。 

3) “合理 处 理 数据 

合理 处 理 数 据 包括 几 方 面 的 内 容 ， 首 先 要 恰当 地 处 理 数据 类 型 ， 否 则 DBMS 将 会 因 加 
密 后 的 数据 不 符合 定义 的 数据 类 型 而 拒绝 加 载 ， 其 次 ， 需 要 处 理 数据 的 存储 问题 ， 实 现 数 
据 库 加 密 后 ， 应 基本 上 不 增加 空间 开销 。 在 目前 条 件 下 ,数据库 关系 运算 中 的 匹配 字段 (如 
表 间 连接 码 、 索 引 字段 等 ) 数 据 不 宜 加 密 。 

4) 不 影响 合法 用 户 的 操作 

要 求 加 密 系 统 对 数据 操作 响应 的 时 间 尽 量 短 ,在 现 阶 段 , 平均 延迟 时 间 不 应 超过 1/10s。 
此 外 ， 对 数据 库 的 合法 用 户 来 说 ， 数 据 的 录入 、 修 改 和 检索 操作 应 该 是 透明 的 ， 不 需要 考 
虚数 据 的 加 密 / 解 密 问题 。 


2. 数据 库 加 密 的 层次 


可 以 考虑 在 3 个 不 同 层次 实现 对 数据 库 数据 的 加 密 ， 这 3 个 层次 分 别 是 操作 系统 层 、 
DBMS 内 核 层 和 DBMS 外 层 。 
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在 操作 系统 层 ， 无 法 辨认 数据 库 文件 中 的 数据 关系 ， 从 而 无 法 产生 合理 的 密 钥 ， 也 无 
法 进行 合理 的 密 钥 管理 和 使 用 。 所 以 ， 在 操作 系统 层 对 数据 库 文 件 进行 加 密 ， 对 于 大 型 数 
据 库 来 说 ， 目 前 还 难以 实现 。 

在 DBMS 内 核 层 实现 加 密 , 是 指数 据 在 物理 存 取 之 前 完成 加 密 /解密 工作 。 这 种 方式 势 
必 造 成 DBMS 和 加 密 器 (硬件 或 软件 ) 之 间 的 接口 需要 DBMS 开发 商 的 支持 。 这 种 加 密 方式 
的 优点 是 加 密 功能 强 ， 并 且 加 密 功 能 几乎 不 会 影响 DBMS 的 功能 ， 可 以 实现 加 密 功 能 与 数 
据 库 管 理 系 统 之 间 的 无 颖 耦合。 但 这 种 方式 的 缺点 是 在 服务 器 端 进行 加 密 / 解 密 运 算 ， 加 重 
了 数据 库 服务 器 的 负载 。 这 种 加 密 方式 如 图 4.1 所 示 。 

比较 实际 的 做 法 是 将 数据 库 加 密 系 统 做 成 DBMS 的 一 个 外 层 工具 ， 如 图 4.2 所 示 。 采 
用 这 种 加 密 方式 时 ， 加 密 / 解 密 运 算 可 以 放 在 客户 端 进行 ， 其 优点 是 不 会 加 重 数据 库 服务 器 
的 负载 ， 并 可 实现 网 上 传输 加 密 ; 缺点 是 加 密 功 能 会 受到 一 些 限制 ， 与 数据 库 管 理 系统 之 
间 的 耦合 性 稍 差 。 图 4.2 中 “加 密 定 义工 具 ” 模 块 的 主要 功能 是 定义 如 何 对 每 个 数据 库 表 
数据 进行 加 密 。 在 创建 了 一 个 数据 库 表 后 ， 通 过 这 一 工具 对 该 表 进 行 定义 ， “数据 库 应 用 
系统 ”模块 的 功能 是 完成 数据 库 定义 和 操作 。 数 据 库 加 密 系统 将 根据 加 密 要 求 自动 完成 对 
数据 库 数 据 的 加 密 / 解 密 操作 。 


定义 加 密 要 求 工 具 


加 密 定义 工具 


加 密 器 | | 
(软件 或 硬件 ) 


数据 库 应 用 
系统 
加 密 器 
(软件 或 硬件 ) 


图 4.1 DBMS 内 核 层 加 密 过 程 图 4.2 DBMS 外 层 加 密 过 程 
3. 数据 库 加 密 的 有 关 问 题 


数据 库 加 密 系统 首先 要 解决 系统 本 身 的 安全 性 和 可 靠 性 问题 ， 在 这 方面 可 以 采用 以 下 
几 项 安全 措施 。 

(1) 在 用 户 进入 系统 时 进行 两 级 安全 控制 。 

这 种 控制 可 以 采用 多 种 方式 , 包括 设置 数据 库 用 户 名 和 口令 , 或 者 利用 工 C 卡 读 写 器 、 
指纹 识别 器 进行 用 户 身份 认证 。 

(2) 防止 非法 复制 。 

对 于 纯 软 件 系统 ， 可 以 采用 软 指纹 技术 防止 非法 复制 。 当 然 ， 如 果 每 台 客 户 机 上 都 安 
装 加 密 卡 等 硬 部 件 ， 安 全 性 会 更 好 。 此 外 ， 还 应 该 保留 数据 库 原 有 的 安全 措施 ， 如 权限 控 
制 、 备 份 /恢复 和 审计 控制 等 。 

(3) 安全 的 数据 抽取 方式 。 


筑 数据 库 加 密 系 统 提供 两 种 数据 库 中 卸 出 和 装 入 加 密 数 据 的 方式 。 

机 @ 密 文 方式 卸 出 。 这 种 外 出 方式 不 解密 ， 御 出 的 数据 还 是 密 文 ， 在 这 种 模式 下 ， 可 
内 直接 使 用 DBMS 提供 的 逢 出 / 装 入 工具 。 

信 @ ”明文 方式 卸 出 。 这 种 邱 出 方式 需要 解密 ， 仓 出 的 数据 是 明文 ， 在 这 种 模式 下 ， 可 
和 利用 系统 专用 工具 先进 行 数据 转换 ， 再 使 用 DBMS 提供 的 印 出 / 装 入 工具 完成 。 

全 4. 数据 库 加 密 系统 结构 


数据 库 加 密 系统 分 成 两 个 功能 独立 的 主要 部 件 : 一 个 是 加 密 字 典 管理 程序 ， 另 一 个 是 
| 数据 库 加 密 /解密 引擎 。 数 据 库 加 密 系统 体系 结构 如 图 4.3 所 示 。 


数据 库 加 / 解 


密 引擎 


图 4.3 数据 库 加 密 系统 体系 结构 


数据 库 加 密 系统 将 用 户 对 数据 库 信 息 具体 的 加 密 要 求 记载 在 加 密 字典 中 ， 加 密 字典 是 
数据 库 加 密 系统 的 基础 信息 ， 可 以 通过 调用 数据 库 加 密 / 解 密 引擎 实现 对 数据 库 表 的 加 密 、 
解密 及 数据 转换 等 功能 。 数 据 库 信息 的 加 密 /解密 处 理 是 在 后 台 完 成 的 ， 对 数据 库 服 务 器 是 
透明 的 。 

加 密 字典 管理 程序 是 管理 加 密 字典 的 实用 程序 , 是 数据 库 管理 员 变更 加 密 要 求 的 工具 。 
加 密 字 典 管理 程序 通过 数据 库 加 密 /解密 引擎 实现 对 数据 库 表 的 加 密 / 解 密 及 数据 转换 等 功 
能 ， 此 时 ， 它 作为 一 个 特殊 客户 来 使 用 数据 库 加 密 / 解 密 引 擎 。 

数据 库 加 密 /解密 引擎 是 数据 库 加 密 系统 的 核心 部 件 ， 它 位 于 应 用 程序 与 数据 库 服 务 器 
之 间 ， 负 责 在 后 台 完 成 数据 库 信 息 的 加 密 / 解 密 处 理 ， 对 应 用 开发 人 员 和 操作 人 员 来 说 是 透 
明 的 。 数 据 加 密 /解密 引擎 没有 操作 界面 ， 在 需要 时 由 操作 系统 自动 加 载 并 驻 留 在 内 存 中 
通过 内 部 接口 与 加 密 字典 管理 程序 和 用 户 应 用 程序 通信 。 

数据 库 加 密 /解密 引擎 由 3 大 模块 组 成 : 数据 库 接口 模块 、 用 户 接口 模块 和 加 密 /解密 处 
理 模 块 。 其 中 ， 数 据 库 接口 模块 的 主要 工作 是 接受 用 户 的 操作 请 求 ， 并 传递 给 加 密 / 解 密 处 
理 模 块 ， 此 外 还 要 代替 加 密 / 解 密 处 理 模块 去 访问 数据 库 服务 器 ， 并 完成 外 部 接口 参数 与 加 
密 /解密 引擎 内 部 数据 结构 之 间 的 转换 。 加 密 / 解 密 处 理 模块 完成 数据 库 加 密 / 解 密 引擎 的 初 
始 化 、 内 部 专用 命令 的 处 理 、 加 密 字 典 信息 的 检索 、 加 密 字 典 缓冲 区 的 管理 、SQL 命令 的 
加 密 变换 、 查 询 结果 的 解密 处 理 以 及 加 密 / 解 密 算 法 的 实现 等 功能 ， 另 外 还 包括 一 些 公用 的 
辅助 函数 。 

按 以 上 方式 实现 的 数据 库 加密 系 统 具 有 很 多 优点 。 

(1) 系统 对 数据 库 的 最 终 用 户 完全 透明 ， 数 据 库 管理 员 可 以 指定 需要 加 密 的 数据 并 根 
据 需要 进行 明文 和 密 文 的 转换 。 
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(2) 系统 完全 独立 于 数据 库 应 用 系统 , 不 需要 改动 数据 库 应 用 系统 就 能 实现 加 密 功 能 ， 
同时 系统 采用 了 分 组 加 密 法 和 二 级 密 钥 管理 ， 实 现 了 “一 次 一 密 钥 ”加 密 操作 。 

(3) 系统 在 客户 端 进行 数据 加 密 / 解 密 运 算 ， 不 会 影响 数据 库 服 务 器 的 系统 效率 ， 数 据 
加 密 /解密 运算 基本 无 延迟 感觉 。 

数据 库 加 密 系统 能 够 有 效 地 保证 数据 的 安全 ， 即 使 黑客 窃取 了 关键 数据 ， 仍 然 难 以 得 
到 所 需 的 信息 ， 因 为 所 有 的 数据 都 经 过 了 加 密 。 另 外 ， 数 据 库 加 密 以 后 ， 可 以 设 定 不 需要 
了 解数 据 内 容 的 系统 管理 员 不 能 见 到 明文 ， 这 样 可 大 大 提高 关键 性 数据 的 安全 性 。 


4.4 数据 的 完整 性 


在 当今 信息 时 代 ， 几 乎 所 有 企 事业 单位 的 核心 业务 处 理 都 依赖 于 计算 机 网 络 系统 。 在 
计算 机 网 络 系统 中 最 为 宝贵 的 就 是 数据 。 数 据 在 计算 机 网 络 中 具有 两 种 状态 : 存储 状态 和 
传输 状态 。 当 数据 在 计算 机 系统 数据 库 中 保存 时 ， 处 于 存储 状态 ， 而 在 与 其 他 用 户 或 系统 
交换 时 ， 数 据 处 于 传输 状态 。 


4.4.1 影响 数据 完整 性 的 因素 


数据 完整 性 的 目的 就 是 保证 网 络 数据 库 系 统 数据 处 于 一 种 完整 或 未 被 损坏 的 状态 。 数 
据 完整 性 意味 着 数据 不 会 由 于 有 意 或 无 意 的 事件 而 被 改变 或 丢失 。 相 反 ， 数 据 完整 性 的 丧 
失 ， 就 意味 着 发 生 了 导致 数据 被 算 改 或 丢失 的 事件 。 为 此 ， 应 首先 检查 造成 数据 完整 性 被 
破坏 的 原因 ， 以 便 采 取 适 当 的 方法 予以 解决 ， 从 而 提高 数据 完整 性 的 程度 。 通 常 ， 影 响 数 
据 完整 性 的 主要 因素 有 硬件 故障 、 软 件 故障 、 网 络 故障 、 人 为 威胁 和 意外 灾难 等 。 另 外 ， 
系统 数据 库 中 的 数据 和 存储 在 硬盘 、 光 盘 、 软 盘 中 的 数据 由 于 各 种 因素 影响 而 失效 (失去 原 
数据 功能 )， 这 也 是 影响 数据 完整 性 的 一 个 方面 。 


1. 硬件 故障 


常见 的 影响 数据 完整 性 的 主要 硬件 故障 有 硬盘 故障 、IO 控制 器 故障 、 电 源 故 障 和 存储 
器 故障 等 。 

(1) 计算 机 系统 运行 过 程 中 最 常见 的 问题 是 硬盘 故障 。 硬 盘 是 一 种 很 重要 的 设备 ， 用 
户 的 文件 系统 、 数 据 和 软件 等 都 存放 在 硬盘 上 。 虽 然 每 个 硬盘 都 有 一 个 平均 无 故障 时 间 ， 
但 这 并 不 意味 着 硬盘 不 会 出 问题 。 每 次 硬盘 出 现 问题 时 ， 用 户 最 着 急 的 并 非 硬盘 本 身 的 价 
值 ， 而 是 硬盘 上 存放 的 数据 。 

(2) LO 控制 器 也 可 引起 用 户 的 数据 丢失 。 因为 IO 控制 器 有 可 能 在 某 次 读 写 过 程 中 将 
硬盘 上 的 数据 删除 或 覆盖 。 这 样 的 事情 其 实 比 硬盘 故障 更 严重 ， 因 为 硬盘 出 现 故 障 时 还 有 
可 能 通过 修复 措施 挽救 硬盘 上 的 数据 ,但 如 果 数 据 完全 被 删除 了 ， 就 无 法 恢复 了 。 虽然 /O 
控制 器 故障 发 生 概率 很 小 ， 但 它 毕 竟 存 在 。 

(3) 电源 故障 也 是 数据 丢失 的 一 个 原因 。 由 于 电源 故障 可 能 来 自 外 部 电源 停电 或 内 部 
供电 问题 等 原因 ， 所 以 系统 断 电 是 不 可 预知 的 。 系 统 突然 断 电 时 ， 某 些 存储 器 中 的 数据 将 
会 丢失 。 

(4) 硬盘 、 光 盘 、 软 盘 等 外 存储 器 经 常 由 于 太 碰 、 振 动 或 其 他 因素 影响 ， 使 得 存储 介 
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质 表面 损坏 或 出 现 其 他 故障 ， 而 使 数据 丢失 或 无 法 读 出 ， 这 些 数 据 就 失去 了 完整 性 或 可 
用 性 。 
此 外 ， 设 备 和 其 他 备份 的 故障 、 芯 片 和 主板 故障 也 会 引起 数据 的 丢失 。 


2. 软件 故障 


软件 故障 也 是 威胁 数据 完整 性 的 一 个 重要 因素 。 常 见 的 软件 故障 有 软件 错误 、 文 件 损 
坏 、 数 据 交换 错误 、 容 量 错误 和 操作 系统 错误 等 。 
软件 具有 安全 漏洞 是 一 个 常见 的 问题 。 有 的 软件 出 错时 ， 会 对 用 户 数据 造成 损坏 ， 最 


| 可 怕 的 事情 是 以 超级 用 户 权限 运行 的 程序 发 生 错误 时 , 它 可 以 把 整个 硬盘 从 根 区 开始 删除 。 


在 应 用 程序 之 间 交 换 数据 是 常 有 的 事 。 当 文件 转换 过 程 生成 的 新 文件 不 具有 正确 的 格式 时 ， 
数据 的 完整 性 将 受到 威胁 。 

软件 运行 不 正常 的 另 一 个 原因 在 于 资源 容量 达到 极限 。 如 果 磁 盘 根 区 被 占 满 ， 将 使 操 
作 系 统 运 行 不 正常 ， 引 起 应 用 程序 出 错 ， 从 而 导致 数据 丢失 。 

操作 系统 普遍 存在 漏洞 ， 这 是 众所周知 的 。 此 外 ， 系 统 的 应 用 程序 接口 (APD 被 开发 商 
用 来 为 最 终 用 户 提供 服务 ， 如 果 这 些 API 工作 不 正常 ， 就 会 破坏 数据 。 

3. 网 络 故障 


网 络 故障 通常 由 网 卡 和 驱动 程序 问题 、 网 络 连接 问题 等 引起 。 

网 卡 和 驱动 程序 实际 上 是 不 可 分 割 的 ， 多 数 情况 下 ， 网 卡 和 驱动 程序 故障 并 不 损坏 数 
据 ， 只 造成 使 用 者 无 法 访问 数据 。 但 当 网 络 服务 器 网 卡 发 生 故 障 时 ， 服 务 器 通常 会 停止 运 
行 ， 这 就 很 难保 证 被 打开 的 那些 数据 文件 是 否 被 损坏 。 

网 络 中 数据 传输 过 程 中 ， 往 往 会 由 于 互 连 设备 (如 路 由 器 、 网 桥 ) 的 缓冲 容量 不 够 大 而 
引起 数据 传输 阻塞 现象 ， 从 而 导致 数据 包 丢 失 。 相 反 ， 这 些 互 连 设备 也 可 能 有 较 大 的 缓冲 
区 ， 但 由 于 调动 这 么 大 的 信息 流量 造成 的 时 延 有 可 能 会 导致 会 话 超时 。 此 外 ， 不 正确 的 网 
络 布线 也 会 影响 数据 的 完整 性 。 

4. 人 为 威胁 


人 为 活动 对 数据 完整 性 造成 的 影响 是 多 方面 的 。 人 为 威胁 使 数据 丢失 或 改变 是 由 于 操 
作 数 据 的 用 户 本 身 造 成 的 。 分 布 式 系统 中 最 薄弱 的 环节 就 是 操作 人 员 。 人 类 易 犯 错误 的 天 
性 是 许多 难以 解释 的 错误 发 生 的 原因 ， 比 如 意外 事故 、 缺 乏 经 验 、 工 作 压 力 、 荤 意 报复 破 
坏 和 窃取 等 。 


5. 灾难 性 事件 


通常 所 说 的 灾难 性 事件 有 火灾 、 水 灾 、 风 暴 、 工 业 事 故 、 鞠 意 破坏 和 届 怖 袭击 等 。 

灾难 性 事件 对 数据 完整 性 有 相当 大 的 威胁 。 例 如 ， 美 国 的 “9。11” 事 件 ， 很 多 大 公司 
和 机 构 的 数据 完全 被 毁坏 。 如 果 没 有 做 好 备份 ， 所 造成 的 损失 是 巨大 的 。 

灾难 性 事件 对 数据 完整 性 之 所 以 能 造成 严重 的 威胁 ， 原 因 是 灾难 本 身 难以 预料 ， 特 别 
是 那些 工业 事件 和 念 怖 袭击 。 另外， 灾难 所 破坏 的 是 包含 数据 在 内 的 物理 载体 本 身 ， 所 以 ， 
灾难 基本 上 会 将 所 有 的 数据 全 部 毁灭 。 
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4.4.2 ”保证 数据 完整 性 的 方法 
1. 数据 完整 性 措施 


最 常用 的 保证 数据 完整 性 的 措施 是 容错 技术 。 常 用 的 恢复 数据 完整 性 和 防止 数据 丢失 
的 容错 技术 有 备份 和 镜像 、 归 档 和 分 级 存储 管理 、 转 储 、 奇 偶 检 验 和 突 发 事件 的 恢复 计 
划 等 。 

容错 的 基本 思想 是 在 正常 系统 基础 上 ， 利 用 外 加 资源 ( 软 、 硬 件 元 余 ) 来 达到 降低 故障 
的 影响 或 消除 故障 的 目的 ， 从 而 可 自动 地 恢复 系统 或 达到 安全 停机 的 目的 。 也 就 是 说 ， 容 
错 是 以 牺牲 、 软 硬件 成 本 为 代价 达到 保证 系统 的 可 靠 性 ， 如 双 机 热 备 份 系统 。 

目前 容错 技术 将 向 以 下 方向 发 展 : 应 用 芯片 技术 容错 ;软件 可 靠 性 技术 ， 高 性 能 、 高 
可 靠 性 的 分 布 式 容错 系统 ， 综 合 性 容错 方法 的 研究 等 。 


2. 容错 系统 的 实现 方法 


常用 的 实现 容错 系统 的 方法 有 空闲 备件 、 负 载 平衡 、 镜 像 、 宛 余 系 统 配件 和 宛 余 存储 
系统 等 。 

1) “空闲 备件 

空闲 备件 是 指 在 系统 中 配置 一 个 处 于 空闲 状态 的 备用 部 件 , 它 是 提供 容错 的 一 条 途径 。 
当 原 部 件 出 现 故障 时 ， 该 部 件 就 取代 原 部 件 的 功能 。 该 容错 类 型 的 一 个 简单 例子 是 将 一 个 
旧 的 低速 打印 机 连 在 系统 上 ， 但 只 在 当前 使 用 的 打印 机 出 现 故 障 时 再 使 用 该 打印 机 ， 即 该 
打印 机 就 是 系统 打印 机 的 一 个 空闲 备件 。 

空闲 备件 在 原 部 件 发 生 故 障 时 起 作用 ， 但 与 原 部 件 不 一 定 相 同 。 

2) ”负载 平衡 

负载 平衡 提供 容错 的 途径 是 使 两 个 部 件 共同 承担 一 项 任务 ， 一 旦 其 中 一 个 部 件 出 现 故 
障 ， 另 一 个 部 件 就 将 两 者 的 负载 全 部 承担 下 来 。 这 种 方法 通常 在 使 用 双 电源 的 服务 器 系统 
中 采用 ， 如 一 个 电源 出 现 故障 ， 另 一 个 电源 就 承担 原来 两 倍 的 负载 。 网 络 系统 中 常见 的 负 
载 平衡 是 对 称 多 处 理 。 在 对 称 多 处 理 中 ， 系 统 中 的 每 一 个 处 理 器 都 能 执行 系统 中 的 任何 工 
作 ， 即 这 种 系统 努力 在 不 同 的 处 理 器 之 间 保 持 负载 平衡 。 由 于 该 原因 ， 对 称 多 处 理 具有 在 
CPU 级 别 上 提供 容错 的 能 力 。 

3) “镜像 

镜像 技术 是 一 种 在 系统 容错 中 常用 的 方法 。 在 镜像 技术 中 ， 两 个 等 同 的 系统 完成 相同 
的 任务 。 如 果 其 中 一 个 系统 出 现 故 障 ， 另 一 个 系统 则 继续 工作 。 这 种 方法 通常 用 于 磁盘 子 
系统 中 ， 两 个 磁盘 控制 器 可 在 同样 型 号 磁盘 的 相同 扇 区 内 写 入 相同 的 内 容 。 NetWare 系统 
的 SFT 王 是 一 个 典型 的 镜像 技术 ， 镜 像 要 求 两 个 系统 完全 相同 ， 且 完成 同一 个 任务 。 

4) “元 余 系 统 配件 

元 余 系 统 配件 是 指 在 系统 中 增加 一 些 元 余 配件 ， 以 增强 系统 故障 的 容错 性 。 通 常 增加 
的 宛 余 系统 配件 有 电源 、L/O 设备 和 通道 、 主 处 理 器 等 。 

5) “元 余 存 储 系统 

最 常用 的 元 余 存 储 系统 有 磁盘 镜像 和 磁盘 元 余 阵 列 RAID)。 

(1) 磁盘 镜像 。 


@ 磁盘 镜像 。 磁盘 镜像 支持 在 主机 的 一 个 硬盘 通道 上 连接 两 块 硬盘 ， 一 个 为 原 盘 ， 
另 一 个 为 镜像 盘 。 当 主机 写 原 盘 时 ， 同 时 也 写 了 镜像 盘 ， 并 对 两 个 盘 表面 进行 写 后 读 验证 。 
如 果 工 作 中 原 盘 出 现 故 障 ， 镜 像 盘 则 自动 承担 原 盘 工作 ， 数 据 不 会 丢失 ， 系 统 也 不 会 中 止 
工作 。 

@ 磁盘 双 工 。 磁 盘 镜像 是 用 一 个 通道 连接 两 个 硬盘 ， 而 磁盘 双 工 是 由 两 个 通道 带 两 
个 硬盘 。 这 样 ， 当 一 个 硬盘 驱动 器 或 通道 控制 器 出 现 故 障 时 ， 能 使 用 另 一 个 通道 上 的 硬盘 
而 不 影响 系统 的 运行 。 同 时 ， 系 统 发 出 警告 ， 促 使 磁盘 双 工 保护 措施 尽快 地 得 到 恢复 。 

(2) 独立 磁盘 元 余 阵 列 RAID。 

RAID(Redundant Array of Independent Disks， 独 立 磁 盘 见 余 阵列 ， 简 称 磁盘 阵列 ) 可 采 


用 硬件 或 软件 的 方法 实现 。 磁 盘 阵 列 由 磁盘 控制 器 和 多 个 磁盘 驱动 器 组 成 ， 由 磁盘 控制 器 


控制 和 协调 多 个 磁盘 驱动 器 的 读 、 写 操作 。 根 据 使 用 的 RAID 级 别 ， 一 个 数据 文件 可 以 采 
取 不 同 的 方式 写 入 多 个 磁盘 ， 从 而 提高 性 能 。RAID 是 一 种 能 够 在 不 经 历任 何故 障 时 间 的 
情况 下 更 换 正 在 出 错 的 磁盘 或 已 发 生 故 障 的 磁盘 的 存储 系统 ， 它 是 保证 磁盘 子 系统 非 故障 
时 间 的 一 条 途径 。RAID 的 初 京 主要 是 为 大 型 服务 器 提供 高 端的 存储 功能 和 宛 余 的 数据 安 
全 。 可 以 这 样 来 理解 ， RAID 是 一 种 把 多 块 独立 的 硬盘 (物理 硬盘 ) 按 不 同方 式 组 合 起 来 形成 
一 个 硬盘 组 (逻辑 硬盘 )， 从 而 提供 比 单个 硬盘 更 高 的 存储 性 能 和 提供 数据 元 余 的 技术 。 组 
成 磁盘 阵列 的 不 同方 式 便 成 为 RAID 级 别 划分 的 标准 。 在 用 户 看 起 来 ， 组 成 的 磁盘 组 就 像 
是 一 个 硬盘 。 用 户 可 以 对 它 进行 分 区 、 格 式 化 等 。 不 同 的 是 ， 磁 盘 阵 列 的 存储 性 能 要 比 单 
个 硬盘 高 很 多 ， 而 且 在 很 多 RAID 模式 中 都 有 较为 完备 的 相互 校 检 /恢复 措施 ， 甚 至 是 直接 
相互 的 镜像 备份 ， 从 而 大 大 提高 了 RAID 系统 的 容错 度 ， 提 高 了 系统 的 稳定 宛 余 性 。 

不 过 ， 所 有 的 RAID 系统 最 大 的 优点 则 是 “ 热 交 换 ” 能 力 : 用 户 可 以 取出 一 个 存在 缺 
陷 的 驱动 器 ， 并 插入 一 个 新 的 驱动 器 予以 更 换 。 对 大 多 数 类 型 的 RAID 来 说 ， 可 以 利用 镜 
像 或 奇偶 信息 在 其 他 元 余 的 驱动 器 中 重建 数据 ， 而 不 必 中 断 服务 器 或 系统 ， 就 可 以 自动 重 
建 某 个 出 现 故障 的 磁盘 上 的 数据 。 这 一 点 对 服务 器 用 户 以 及 其 他 高 要 求 的 用 户 是 至 关 重 
要 的 。 

数据 元 余 的 功能 是 指 用 户 数据 一 旦 发 生 损 坏 后 ， 利 用 元 余 信 息 可 以 使 损坏 数据 得 以 恢 
复 ， 从 而 保障 了 用 户 数据 的 完整 性 。 

RAID 技术 经 过 不 断 的 发 展 ， 现 在 已 拥有 从 RAID 0 到 RAID 6 等 7 种 基本 的 级 别 。 另 
外 ， 还 有 一 些 基本 RAID 级 别 的 组 合 形式 ， 如 RAID 10(RAID 0 与 RAID 1 的 组 合 )、RAID 
50(RAID 0 与 RAID 5 的 组 合 ) 等 。 不 同 RAID 级 别 代表 着 不 同 的 存储 性 能 、 数 据 安全 性 和 
存储 成 本 。 


4.5 数据 备份 和 恢复 


在 日 常 工作 中 ， 人 为 操作 错误 、 系 统 软 件 或 应 用 软件 缺陷 、 硬 件 损毁 、 计 算 机 病毒 、 
黑客 攻击 、 突 然 断 电 、 意 外 宕 机 、 自 然 灾害 等 诸多 因素 都 有 可 能 造成 计算 机 中 数据 的 丢失 ， 
给 企业 造成 无 法 估量 的 损失 。 数 据 的 丢失 极 有 可 能 演变 成 一 场 灭顶 之 灾 。 因 此 ， 数 据 备份 
与 恢复 对 企业 来 说 显得 格外 重要 。 
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4.5.1 数据 备份 
1. 数据 备份 的 概念 


数据 备份 就 是 指 为 防止 系统 出 现 操作 失误 或 系统 故障 导致 数据 丢失 ， 而 将 全 系统 或 部 
分 数据 集合 从 应 用 主机 的 硬盘 或 阵列 中 复制 到 其 他 存储 介质 上 的 过 程 。 计 算 机 系统 中 的 数 
据 备份 ， 通 常 是 指 将 存储 在 计算 机 系统 中 的 数据 复制 到 磁带 、 磁 盘 、 光 盘 等 存储 介质 上 ， 
在 计算 机 以 外 的 地 方 另 行 保管 。 这 样 ， 当 计算 机 系统 设备 发 生 故 障 或 发 生 其 他 威胁 数据 安 
全 的 灾害 时 ， 能 及 时 地 从 备份 的 介质 上 恢复 正确 的 数据 。 

数据 备份 的 目的 就 是 为 了 系统 数据 崩溃 时 能 够 快速 地 恢复 数据 , 使 系统 迅速 恢复 运行 。 
那么 就 必须 保证 备份 数据 和 源 数 据 的 一 致 性 和 完整 性 ， 消 除 系统 使 用 者 的 后 顾 之 忧 。 其 关 
键 在 于 保障 系统 的 高 可 用 性 ， 即 操作 失误 或 系统 故障 发 生 后 ， 能 够 保障 系统 的 正常 运行 。 

如 果 没 有 了 数据 ， 一 切 的 恢复 都 是 不 可 能 实现 的 ， 因 此 备份 是 一 切 灾难 恢复 的 基石 。 
从 这 个 意义 上 说 ， 任 何 灾难 恢复 系统 实际 上 都 是 建立 在 备份 基础 上 的 。 

现在 不 少 企业 也 意识 到 了 这 一 点 ， 采 取 了 系统 定期 检测 与 维护 、 双 机 热 备 份 、 磁 盘 镜 
像 或 容错 、 备 份 磁带 异地 存放 、 关 键 部 件 元 余 等 多 种 预防 措施 。 这 些 措施 一 般 能 够 进行 数 
据 备 份 ， 并 且 在 系统 发 生 故 障 后 能 够 快速 进行 系统 恢复 。 

数据 备份 和 恢复 系统 通过 将 计算 机 系统 中 的 数据 进行 备份 和 脱 机 保存 后 ， 当 系统 中 的 
数据 因 任何 原因 丢失 、 混 乱 或 出 错时 ， 即 可 将 原 备份 的 数据 从 备份 介质 中 恢复 回 系统 ， 使 
系统 重新 工作 。 数 据 备份 与 恢复 系统 是 数据 保护 措施 中 最 直接 、 最 有 效 、 最 经 济 的 方案 ， 
也 是 任何 计算 机 信息 系统 不 可 缺少 的 一 部 分 。 

数据 备份 能 够 用 一 种 增加 数据 存储 代价 的 方法 保护 数据 安全 ， 它 对 于 拥有 重要 数据 的 
大 企 事业 单位 是 非常 重要 的 ， 因 此 数据 备份 和 恢复 通常 是 大 中 型 企 事业 单位 的 网 络 系统 管 
理 员 每 天 必 做 的 工作 之 一 ， 对 于 个 人 计算 机 用 户 ， 数 据 备份 也 是 非常 必要 的 。 

传统 的 数据 备份 主要 是 采用 数据 内 置 或 外 置 的 磁带 机 进行 冷 备份 。 一 般 来 说 ， 各 种 操 
作 系 统 都 附带 了 备份 程序 。 但 是 随 着 数据 的 不 断 增加 和 系统 要 求 的 不 断 提高 ， 附 带 的 备份 
程序 根本 无 法 满足 需求 。 要 想 对 数据 进行 可 靠 的 备份 ， 必 须 选 择 专门 的 备份 软 、 硬 件 ， 并 
制订 相应 的 备份 及 恢复 方案 。 

目前 比较 常用 的 数据 备份 有 以 下 几 种 。 

(1) 本 地 磁带 备份 。 利 用 大 容量 磁带 备份 数据 。 

(2) 本 地 可 移动 存储 器 备份 。 利 用 大 容量 等 价 软盘 驱动 器 、 可 移动 等 价 硬盘 驱动 器 、 
一 次 性 可 刻录 光盘 驱动 器 、 可 重复 刻录 光盘 驱动 器 进行 数据 备份 。 

(3) 本 地 可 移动 硬盘 备份 。 利 用 可 移动 硬盘 备份 大 量 的 数据 。 

(4) 本 机 多 硬盘 备份 。 在 本 机 内 装 有 多 块 硬盘 ， 利 用 除 安 装 和 运行 操作 系统 和 应 用 程 
序 的 一 块 或 多 块 硬盘 外 的 其 余 硬 盘 进 行 数据 备份 。 

中 ”远程 磁带 库 、 光 盘 库 备 份 。 将 数据 传送 到 远程 备份 中 心 制作 完整 的 备份 磁带 或 


@ 远程 关键 数据 加 磁带 备份 。 采 用 磁带 备份 数据 ， 生 产 机 实时 向 备份 机 发 送 关键 


@@ ”远程 数据 库 备 份 。 在 与 主 数据 库 所 在 生产 机 相 分 离 的 备份 机 上 建立 主 数据 库 的 一 
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个 备份 。 

@ 网络 数据 镜像 。 对 生产 系统 的 数据 库 数据 和 所 需 跟踪 的 重要 目标 文件 的 更 新 进行 
监控 与 跟踪 ， 并 将 更 新 日 志 实时 通过 网 络 传送 到 备份 系统 ， 备 份 系统 则 根据 日 志 对 磁盘 进 
行 更 新 。 

@@ ”远程 镜像 磁盘 。 通 过 高 速 光纤 通道 线路 和 磁盘 控制 技术 将 镜像 磁盘 延伸 到 远离 生 
产 机 的 地 方 ， 镜 像 磁盘 数据 与 主 磁盘 数据 完全 一 致 ， 更 新 方式 为 同步 或 异步 。 


2. 数据 备份 的 类 型 


按 数 据 备份 时 数据 库 状 态 的 不 同 可 分 为 冷 备 份 、 热 备份 和 逻辑 备份 等 类 型 。 

1) ” 冷 备份 (Coldbackup) 

冷 备 份 是 指 在 关闭 数据 库 的 状态 下 进行 的 数据 库 完全 备份 。 备 份 内 容 包括 所 有 的 数据 
文件 、 控 制 文件 、 联 机 日 志文 件 、ini 文件 等 。 因 此， 在 进行 冷 备份 时 数据 库 将 不 能 被 访问 。 
冷 备份 通常 只 采用 完全 备份 。 

2)” 热 备份 (Hotbackup) 

热 备 份 是 指 在 数据 库 处 于 运行 状态 下 ， 对 数据 文件 和 控制 文件 进行 的 备份 。 使 用 热 备 
份 必须 将 数据 库 运 行 在 归档 (Archivelog) 方 式 下 ， 因 此 ， 在 进行 热 备份 的 同时 可 以 进行 正常 
数据 库 的 各 种 操作 。 

3) ”逻辑 备份 

逻辑 备份 是 最 简单 的 备份 方法 ， 可 按 数据 库 中 某 个 表 、 某 个 用 户 或 整个 数据 库 进行 导 
出 。 使 用 这 种 方法 ,数据 库 必 须 处 于 打开 状态 ,而且 如 果 数 据 库 不 是 在 Restrict 状态 将 不 能 
保证 导出 数据 的 一 致 性 。 


3. 数据 备份 策略 


需要 进行 数据 备份 的 部 门 都 要 先 制定 数据 备份 策略 。 数 据 备份 策略 包括 确定 需 备 份 的 
数据 内 容 (如 进行 完全 备份 、 增 量 备份 、 差 别 备份 还 是 按 需 备份 )、 备 份 类 型 (如 采用 冷 备 份 
还 是 热 备 份 )、 备 份 周期 (如 以 月 、 周 、 日 还 是 小 时 为 备份 周期 )、 备 份 方式 (如 采用 手工 备份 
还 是 自动 备份 )、 备 份 介质 (如 以 光盘 、 硬 盘 、 磁 带 还 是 U 盘 做 备份 介质 ) 和 备份 介质 的 存放 
等 。 下 面 是 不 同 数据 内 容 的 几 种 备份 方式 。 

1) ”完全 备份 (Full Backup) 

完全 备份 是 指 按 备份 周期 (如 一 天 ) 对 整个 系统 所 有 文件 (数据 ) 进 行 备份 。 这 种 备份 方式 
比较 流行 ， 也 是 克服 系统 数据 不 安全 的 最 简单 方法 ， 操 作 起 来 也 很 方便 。 有 了 完全 备份 ， 
网 络 管理 员 可 清楚 地 知道 从 备份 之 日 起 便 可 恢复 网 络 系统 的 所 有 信息 ， 恢 复 操作 也 可 一 次 
性 完成 。 如 发 现 数据 丢失 时 ， 只 要 用 一 盘 故 障 发 生前 一 天 备份 的 磁带 ， 即 可 恢复 丢失 的 数 
据 。 但 这 种 方式 的 不 足 之 处 是 由 于 每 天 都 对 系统 进行 完全 备份 ， 在 备份 数据 中 必定 有 大 量 
的 内 容 是 重复 的 ， 这 些 重复 的 数据 占用 了 大 量 的 磁带 空间 ， 这 对 用 户 来 说 就 意味 着 增加 成 
本 。 另 外 ， 由 于 进行 完全 备份 时 需要 备份 的 数据 量 相当 大 ， 因 此 备份 所 需 时 间 较 长 。 对 于 
那些 业务 繁忙 ， 备 份 窗口 时 间 有 限 的 单位 来 说 ， 选 择 这 种 备份 策略 是 不 合适 的 。 

2)” 增 量 备份 (Incremental Backup) 

增 量 备份 是 指 每 次 备份 的 数据 只 是 相当 于 上 一 次 备份 后 增加 的 和 修改 过 的 内 容 ， 即 备 
份 的 都 是 已 更 新 过 的 数据 。 比 如 ， 系 统 在 星期 日 做 了 一 次 完全 备份 ， 然 后 在 以 后 的 6 天 里 
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每 天 只 对 当天 新 的 或 被 修改 过 的 数据 进行 备份 。 这 种 备份 的 优点 很 明显 ， 没 有 或 减少 了 重 
复 的 备份 数据 ， 既 节省 存储 介质 空间 ， 又 缩短 了 备份 时 间 。 但 它 的 缺点 是 恢复 数据 过 程 比 
较 麻 烦 ， 不 可 能 一 次 性 地 完成 整体 的 恢复 。 

3) ”差别 备份 (Different Backup) 

差别 备份 也 是 在 完全 备份 后 将 新 增加 或 修改 过 的 数据 进行 备份 ， 但 它 与 增 量 备份 的 区 
别 是 每 次 备份 都 把 上 次 完全 备份 后 更 新 过 的 数据 进行 备份 。 比 如 ,星期 日 进行 完全 备份 后 ， 
其 余 6 天 中 的 每 一 天 都 将 当天 所 有 与 星期 日 完全 备份 时 不 同 的 数据 进行 备份 。 差 别 备份 可 
节省 备份 时 间 和 存储 介质 空间 ; 只 需 两 盘 磁带 (星期 日 备份 磁带 和 故障 发 生前 一 天 的 备份 磁 
带 ) 即 可 恢复 数据 。 差 别 备份 兼 具 了 完全 备份 发 生 数据 丢失 时 恢复 数据 较 方便 和 增 量 备 份 节 
省 存储 介质 空间 及 备份 时 间 的 优点 。 

完全 备份 所 需 的 时 间 最 长 ， 占 用 存储 介质 容量 最 大 ， 但 数据 恢复 时 间 最 短 、 操 作 最 方 
便 ， 当 系统 数据 量 不 大 时 该 备份 方式 最 可 靠 ; 但 当 数 据 量 增 大 时 ， 很 难 每 天 都 做 完全 备份 ， 
可 选择 周末 做 完全 备份 ， 在 其 他 时 间 采 用 所 用 时 间 最 少 的 增 量 备份 或 时 间 介 于 两 者 之 间 的 
差别 备份 。 在 实际 备份 应 用 中 ， 通 常 也 是 根据 具体 情况 ， 采 用 这 几 种 备份 方式 的 组 合 ， 如 
年 底 做 完全 备份 ， 月 底 做 完全 备份 ， 周 末 做 完全 备份 ， 而 每 天 做 增 量 备份 或 差别 备份 。 

4) ” 按 需 备份 

除 以 上 备份 方式 外 ， 还 可 采用 对 随时 所 需 数据 进行 备份 的 方式 进行 数据 备份 。 按 需 备 
份 ， 就 是 指 除 正常 备份 外 ， 额 外 进行 的 备份 操作 。 额 外 备份 可 以 有 许多 理由 ， 比 如 ， 只 想 
备份 很 少 几 个 文件 或 目录 、 备 份 服务 器 上 所 有 必需 的 信息 以 便 进行 更 安全 的 升级 等 。 这 样 
的 备份 在 实际 中 经 常 遇 到 ， 它 可 弥补 元 余 管 理 或 长 期 转 储 的 日 常备 份 的 不 足 。 


4.5.2 ”数据 恢复 


数据 恢复 是 指 将 备份 到 存储 介质 上 的 数据 再 恢复 到 计算 机 系统 中 ， 它 与 数据 备份 是 一 
个 相反 的 过 程 。 

数据 恢复 措施 在 整个 数据 安全 保护 中 占有 相当 重要 的 地 位 ， 因 为 它 关 系 到 系统 在 经 历 
灾难 后 能 否 迅速 恢复 运行 。 

通常 ， 在 遇 到 下 列 情况 时 应 使 用 数据 恢复 功能 进行 数据 恢复 。 

(1) 当 硬 盘 数 据 被 破坏 时 。 

(2) 当 需 要 查询 以 往年 份 的 历史 数据 ， 而 这 些 数据 已 从 现 系统 上 清除 。 

(3) 当 系统 需要 从 一 台 计 算 机 转移 到 另 一 台 计算 机 上 运行 时 ， 可 将 使 用 的 相关 数据 恢 
复 到 新 计算 机 的 硬盘 上 。 


1. 恢复 数据 时 的 注意 事项 


(1) 由 于 恢复 数据 是 覆盖 性 的 ， 不 正确 的 恢复 可 能 破坏 硬盘 中 的 最 新 数据 ， 因 此 在 进 
行 数据 恢复 时 ， 应 先 将 硬盘 数据 备份 。 

(2) 进行 恢复 操作 时 ， 用 户 应 指明 恢复 何 年 何 月 的 数据 。 当 开始 恢复 数据 时 ， 系 统 首 
先 识别 备份 介质 上 标识 的 备份 日 期 是 否 与 用 户 选 择 的 日 期 相同 ， 如 果 不 同 将 提醒 用 户 更 换 
备份 介质 。 

(3) 由 于 数据 恢复 工作 比较 重要 , 容易 错 把 系统 上 的 最 新 数据 变 成 备份 盘 上 的 旧 数 据 ， 


tals 


因此 应 指定 少数 人 进行 此 项 操作 。 
(4) 不 要 在 恢复 过 程 中 关机 、 关 电源 或 重新 启动 机 器 。 
(5) 不 要 在 恢复 过 程 中 打开 驱动 器 开关 或 抽出 软盘 、 光 盘 ， 除 非 系统 提示 换 盘 。 
2. 数据 恢复 的 类 型 


一 般 来 说 ， 数 据 恢 复 操 作 比 数据 备份 操作 更 容易 出 问题 。 数 据 备份 只 是 将 信息 从 磁盘 
复制 出 来 ， 而 数据 恢复 则 要 在 目标 系统 上 创建 文件 。 在 创建 文件 时 会 出 现 许多 差错 ， 如 超 
过 容量 限制 、 权 限 问 题 和 文件 覆盖 错误 等 。 数 据 备 份 操作 无 须知 道 太 多 的 系统 信息 ， 只 需 


| 复制 指定 信息 即 可 ， 而 数据 恢复 操作 则 需要 知道 哪些 文件 需要 恢复 ， 哪 些 文件 不 需要 恢 


复 等 。 

数据 恢复 操作 通常 可 分 为 3 类 : 全 盘 恢 复 、 个 别 文件 恢复 和 重 定向 恢复 。 

1) ”全盘 恢复 

全 盘 恢 复 就 是 将 备份 到 介质 上 的 指定 系统 信息 全 部 转 储 到 它们 原来 的 地 方 。 全 盘 恢 复 
一 般 应 用 在 服务 器 发 生意 外 灾难 时 导致 数据 全 部 丢失 、 系 统 崩 演 或 是 有 计划 的 系统 升级 、 
系统 重组 等 ， 也 称 为 系统 恢复 。 

2) 个别 文件 恢复 

个 别 文件 恢复 就 是 将 个 别 已 备份 的 最 新 版 文件 恢复 到 原来 的 地 方 。 对 大 多 数 备份 来 说 ， 
这 是 一 种 相对 简单 的 操作 。 个 别 文件 恢复 要 比 全 盘 恢 复 常 用 得 多 。 利 用 网 络 备份 系统 的 恢 
复 功 能 ， 很 容易 恢复 受 损 的 个 别 文件 (数据 )。 需 要 时 只 要 浏览 备份 数据 库 或 目录 ， 找 到 该 
文件 (数据 )， 启 动 恢复 功能 ， 系 统 将 自动 驱动 存储 设备 ， 加 载 相 应 的 存储 媒体 ， 恢 复 指 定 
文件 (数据 )。 

3)” 重 定向 恢复 

重 定向 恢复 是 将 备份 的 文件 (数据 ) 恢 复 到 另 一 个 不 同 的 位 置 或 系统 上 去 ， 而 不 是 做 备 
份 操作 时 它们 所 在 的 位 置 。 重 定向 恢复 可 以 是 整个 系统 恢复 ， 也 可 以 是 个 别 文件 恢复 。 进 
行 重 定向 恢复 时 需要 慎重 考虑 ， 要 确保 系统 或 文件 恢复 后 的 可 用 性 。 


4.6 网 络 备份 系统 


4.6.1 单机 备份 和 网 络 备份 


数据 备份 对 使 用 计算 机 的 人 来 说 并 不 陌生 ， 每 个 人 都 可 能 曾经 做 过 一 些 重 要 文件 的 备 
份 。 早 期 的 数据 备份 通常 是 采用 单个 主机 内 置 或 外 置 的 磁带 机 或 磁盘 机 对 数据 进行 冷 备 份 。 
这 种 单机 式 备份 在 数据 量 不 大 、 操 作 系统 简单 、 服 务 器 数量 少 的 情况 下 ， 是 一 种 既 经 济 又 
简单 、 实 用 的 备份 手段 。 但 随 着 网 络 技术 的 发 展 和 广泛 应 用 ， 以 及 数据 量 爆炸 性 的 增长 ， 
单机 备份 方式 越 来 越 不 适应 网 络 系统 环境 ， 产 生 了 诸多 不 利 ， 比 如 : 

(1) 数据 分 散在 不 同 机 器 、 不 同 应 用 上 ， 管 理 分 散 ， 安 全 得 不 到 保障 。 

(2) 难以 实现 数据 库 数 据 的 高 效 热 备 份 。 

(3) 备份 时 不 能 缺少 维护 人 员 ， 工 作 效率 低 。 

(4) 存储 介质 管理 难度 大 。 

(5) 数据 丢失 现象 难以 避免 。 
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(6) 灾难 给 系统 重建 和 业务 数据 运作 带 来 困难 。 

网 络 系统 备份 不 仅 备份 系统 中 的 数据 ,而 且 还 可 备份 系统 中 的 应 用 程序 、 数 据 库 系 统 、 
用 户 设置 、 系 统 参数 等 信息 ， 以 便 迅 速 恢 复 整 个 系统 。 网 络 系统 备份 是 全 方位 、 多 层次 的 
备份 ， 但 并 非 所 有 情况 下 都 要 备份 系统 信息 ， 因 为 有 些 应 用 只 需 将 系统 中 的 重要 数据 进行 
备份 即 可 。 数 据 备 份 主要 是 进行 系统 中 重要 数据 (特别 是 数据 库 ) 的 备份 。 

在 备份 过 程 中 ， 如 果 只 管理 一 台 计 算 机 ， 进 行 单机 备份 ， 那 么 备份 事件 就 很 简单 。 但 
如 果 管 理 多 台 计 算 机 或 一 个 网 段 ， 甚 至 整个 企业 网 ， 备 份 就 是 一 件 非 常 复杂 的 事情 。 数 据 
备份 的 核心 是 数据 库 备 份 ， 流行 的 数据 库 系统 (如 Oracle、Sybase) 均 有 自己 的 数据 库 备份 工 
具 ， 但 它们 不 能 实现 自动 备份 ， 只 能 将 数据 备份 到 磁带 机 或 硬盘 上 ， 而 不 能 驱动 磁带 库 等 
自动 加 载 设备 。 采 用 具有 自动 加 载 功能 的 磁带 库 硬 件 产品 与 数据 库 在 线 备份 功能 的 自动 备 
份 软件 ， 即 可 满足 用 户 的 要 求 。 目 前 流行 的 备份 软件 都 具有 自动 定时 备份 管理 、 备 份 介 质 
自动 管理 、 数 据 库 在 线 备份 管理 等 功能 。Legato 公司 的 NetWorker 和 Veritas 公司 的 
NetBackup 系统 可 跨 平 台 进行 网 络 数据 的 自动 备份 管理 ， 可 实现 备份 系统 的 分 布 式 处 理 、 
集中 式 管理 、 备 份 机 器 分 组 管理 、 备 份 介质 分 组 管理 、 备 份 数据 分 类 分 组 管理 及 备份 介质 
自动 重复 使 用 等 多 项 功能 。 备 份 的 数据 可 在 每 个 备份 客户 机 上 按 需 恢复 ， 也 可 在 同 平台 上 
按 用 户 权 限 交 叉 恢 复 ， 而 备份 操作 可 采用 集中 自动 执行 或 手动 执行 。 

理想 的 备份 系统 应 该 是 全 方位 的 、 多 层次 的 。 比 如 ， 使 用 网 络 存 储备 份 系统 和 硬件 容 
错 相 结合 的 方式 ， 就 可 以 恢复 由 于 硬件 故障 、 软 件 故 障 或 人 为 错误 造成 的 损坏 。 这 种 结合 
方式 构成 了 对 系统 软 、 硬 件 的 多 级 保护 ， 既 可 以 防止 物理 损坏 ,又 能 较 好 地 防止 逻辑 损坏 。 

网 络 备份 系统 的 功能 是 尽 可 能 快 地 全 面 恢复 运行 计算 机 系统 所 需 的 数据 和 系统 信息 。 
网 络 备份 系统 对 整个 网 络 的 数据 进行 管理 。 网 络 备份 系统 既 要 能 在 由 于 系统 或 人 为 故障 造 
成 系统 数据 损坏 或 丢失 后 ， 可 及 时 地 实现 数据 的 恢复 ， 又 要 能 在 发 生地 域 灾 难 时 及 时 地 在 
本 地 或 异地 实现 数据 及 整个 系统 的 灾难 恢复 。 

网 络 备份 实际 上 不 仅 是 指 网 络 上 各 计算 机 的 文件 备份 ， 而 是 包括 了 整个 网 络 系统 的 一 
套 备份 体系 。 该 体系 包括 文件 备份 和 恢复 、 数 据 库 备 份 和 恢复 ， 系 统 灾难 恢复 和 备份 任务 
管理 等 。 


4.6.2 ”网 络 备份 系统 的 组 成 


所 有 的 数据 可 以 备份 到 与 备份 服务 器 或 应 用 服务 器 相连 的 一 台 备 份 介质 中 。 一 个 网 络 
备份 系统 由 目标 、 工 具 、 存 储 设 备 和 通道 4 个 部 件 组 成 。 

(1) 目标 是 指 被 备份 或 恢复 的 系统 。 一 个 完整 的 自动 备份 系统 ， 在 目标 中 都 要 运行 一 
个 备份 客户 程序 。 该 程序 允许 远程 对 目标 进行 相应 的 文件 操作 ， 这 样 可 以 实现 集中 式 、 全 
自动 备份 的 功能 。 

(2) 工具 是 执行 备份 或 恢复 任务 的 系统 。 工 具 提 供 一 个 集中 管理 控制 平台 ， 管 理 员 可 
以 利用 该 平台 去 配置 整个 网 络 备份 系统 。 

(3) 存储 设备 就 是 备份 的 数据 被 保存 的 地 方 ， 通 常 有 磁带 、 磁 盘 等 。 存 储 设备 和 工具 
可 以 在 一 台 机 器 中 ， 也 可 以 在 不 同 的 机 器 中 。 

(4) 通道 是 指 将 存储 设备 与 网 络 计算 机 连接 在 一 起 的 线路 和 接口 等 ， 其 作用 就 是 作为 
目标 、 工 具 与 存储 设备 之 间 的 逻辑 通路 ， 为 备份 数据 或 恢复 数据 提供 通道 。 


网 络 备份 系统 可 实现 备份 和 恢复 两 个 过 程 。 前 者 就 是 利用 工具 将 目标 备份 到 存储 设备 
中 ; 后 者 是 利用 工具 将 存储 设备 中 的 数据 恢复 到 目标 中 。 

一 个 完整 的 网 络 备 份 系统 组 成 可 包括 备份 计划 、 备 份 管理 及 操作 员 、 网 络 管理 系统 、 
主机 系统 、 目 标 系统 、 工 具 系 统 、 存 储 设备 及 其 启动 程序 、IO 通道 和 外 围 设备 等 。 

实际 的 网 络 备份 系统 通常 是 由 物理 主机 系统 、 逻 辑 主 机 系统 、IO 总 线 、 外 围 设备 、 设 
备 驱动 程序 、 备 份 存储 介质 、 备 份 计划 文档 、 操 作 执行 者 、 物 理 目标 系统 、 逻 辑 目 标 系统 、 
网 络 连接 和 网 络 协议 等 组 成 的 。 


| 4.6.3 网 络 备份 系统 方案 


在 谈 到 数据 备份 时 ， 有 人 总 认为 只 要 将 数据 复制 后 保存 起 来 ， 就 可 以 确保 数据 的 安全 ， 
其 实 ， 这 是 对 备份 的 误解 ， 因 为 资料 、 数 据 的 复制 根本 无 法 完成 对 历史 记录 的 追踪 ， 也 无 
法 留 下 系统 信息 ， 这 样 做 只 能 是 在 系统 完好 的 情况 下 ， 将 部 分 数据 进行 恢复 。 

实际 上 ， 备 份 不 仅 只 是 对 数据 的 保护 ， 其 最 终 目 的 是 为 了 在 系统 遇 到 人 为 或 自然 灾难 
时 ， 能 够 通过 备份 内 容 对 系统 进行 有 效 的 恢复 。 所 以 ， 在 考虑 备份 选择 时 ， 应 该 不 仅 只 是 
消除 传统 输入 复杂 程序 或 手动 备份 的 麻烦 ， 更 要 能 实现 自动 化 及 跨 平 台 的 备份 ， 满 足 用 户 
的 全 面 需求 。 因 此 ， 备 份 不 等 于 单纯 的 复制 ， 管 理 也 是 备份 重要 的 组 成 部 分 。 管 理 包括 备 
份 的 可 计划 性 、 磁 带 机 的 自动 化 操作 、 历 史记 录 的 保存 及 日 志 记录 等 。 正 是 有 了 这 些 先进 
的 管理 功能 ， 在 恢复 数据 时 才能 掌握 系统 信息 和 历史 记录 ， 使 备份 真正 实现 轻松 和 可 靠 。 

一 个 完整 的 网 络 备份 和 灾难 恢复 方案 应 包括 备份 硬件 、 备 份 软件 、 备 份 计划 和 灾难 恢 
复 计 划 4 个 部 分 。 


1. 备份 硬件 


一 般 说 来 ， 丢 失 数据 有 3 种 可 能 ， 即 人 为 的 错误 、 漏 洞 与 病毒 影响 、 设 备 失 灵 。 目 前 
比较 流行 的 硬件 备份 解决 方法 包括 硬盘 存储 、 光 学 介质 和 磁带 /磁带 机 存储 备份 技术 。 

与 磁带 /磁带 机 存储 技术 和 光学 介质 备份 相 比 ， 硬 盘存 储 所 需 费用 是 极其 昂贵 的 。 磁 盘 
存储 技术 虽然 可 以 提供 容错 性 解决 方案 ， 但 容错 却 不 能 抵御 用 户 的 错误 和 病毒 。 一 旦 两 个 
磁盘 在 短 时 间 内 失灵 ， 在 一 个 磁盘 重建 之 前 ， 不 论 是 磁盘 镜像 还 是 磁盘 双 工 都 不 能 提供 数 
据 保护 。 因 此 ， 在 大 容量 数据 备份 方面 ， 采 用 硬盘 作为 备份 介质 并 不 是 最 佳 选择 。 

与 硬盘 备份 相 比 ， 虽 然 光 学 介质 备份 提供 了 比较 经 济 的 存储 解决 方案 ， 但 它们 所 用 的 
访问 时 间 要 比 硬盘 多 几 倍 ， 并 且 容 量 相对 较 小 。 当 备份 大 容量 数据 时 ， 所 需 光盘 数量 多 ， 
虽 保存 的 时 间 较 长 ， 但 整体 可 靠 性 较 低 。 所 以 光学 介质 也 不 是 大 容量 数据 备份 的 最 佳 选 择 。 

利用 磁带 机 进行 大 容量 的 信息 备份 具有 容量 大 、 可 灵活 配置 、 速 度 相 对 适中 、 介 质保 
存 长 久 (存储 时 间 超 过 30 年 )、 成 本 较 低 、 数 据 安全 性 高 、 可 实现 无 人 操作 的 自动 备份 等 优 
势 。 所 以 一 般 来 说 ， 磁 带 设备 是 大 容量 网 络 备份 用 户 的 主要 选择 。 

2. 备份 软件 


可 能 大 多 数 用 户 还 没有 意识 到 备份 软件 的 重要 性 ， 其 重要 原因 是 许多 人 对 备份 知识 和 
备份 手段 缺乏 了 解 。 他 们 所 知道 的 备份 软件 无 非 是 网 络 操作 系统 附带 提供 的 备份 功能 ， 但 
对 如 何 正 确 使 用 专业 的 备份 软件 却 知之 甚 少 。 
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备份 软件 主要 分 为 两 大 类 : 一 类 是 各 个 操作 系统 厂商 在 操作 系统 软件 内 附带 的 备份 功 
能 ，( 如 NetWare 操作 系统 的 Backup 功能 、NT 操作 系统 的 NTBackup 等 )， 另 一 类 是 各 个 
专业 厂商 提供 的 全 面 的 专业 备份 软件 ， 如 HP Open View Omni BackI 和 CA 公司 的 
ARCServerIT 等 。 

对 于 备份 软件 的 选择 ， 不 仅 要 注重 使 用 方便 、 自 动 化 程度 高 ， 还 要 有 好 的 扩展 性 和 灵 
活性 。 同 时 ， 跨 平台 的 网 络 数据 备份 软件 能 满足 用 户 在 数据 保护 、 系 统 恢复 和 病毒 防护 等 
方面 的 支持 。 一 个 专业 的 备份 软件 配合 高 性 能 的 备份 设备 ， 能 够 使 遭 损坏 的 系统 迅速 得 以 
恢复 。 


3. 备份 计划 


灾难 恢复 的 先决 条 件 是 要 做 好 备份 策略 及 恢复 计划 。 日 常备 份 计划 描述 每 天 的 备份 以 
什么 方式 进行 、 使 用 什么 介质 、 什 么 时 间 进 行 以 及 系统 备份 方案 的 具体 实施 细则 。 在 计划 
制订 完毕 后 ， 应 严格 按照 程序 进行 日 常备 份 ， 否 则 将 无 法 达到 备份 的 目的 。 

在 备份 计划 中 ， 数 据 备份 方式 的 选择 是 主要 的 。 目 前 的 备份 方式 主要 有 完全 备份 、 增 
量 备 份 和 差别 备份 。 用 户 根据 自身 业务 对 备份 内 容 和 灾难 恢复 的 要 求 ， 应 该 进行 不 同 的 选 
择 ， 也 可 以 将 这 几 种 备份 方式 进行 组 合 应 用 ， 以 得 到 更 好 的 效果 。 

4. 灾难 恢复 计划 

灾难 恢复 计划 在 整个 备份 中 占有 相当 重要 的 地 位 。 因 为 它 关系 到 系统 、 软 件 与 数据 在 
经 历 灾难 后 能 否 快速 、 准 确 地 恢复 。 全 盘 恢 复 一 般 应 用 在 服务 器 发 生意 外 灾难 ， 导 致 数据 
全 部 丢失 、 系 统 衣 溃 或 是 有 计划 的 系统 升级 、 系 统 重组 等 情况 ， 也 称 为 系统 恢复 。 此 外 ， 
有 些 厂商 还 推出 了 拥有 单 键 恢复 功能 的 磁带 机 ， 只 需 用 系统 盘 引 导 机 器 启动 ， 将 磁带 插入 
磁带 机 ， 按 动 一 个 按键 即 可 恢复 整个 系统 。 


4.7 数据 容 灾 


对 于 IT 而 言 ， 容 灾 系 统 就 是 为 计算 机 信息 系统 提供 的 一 个 能 应 付 各 种 灾难 的 环境 。 当 
计算 机 系统 在 遭受 如 火灾 、 水 灾 、 地 震 、 战 争 等 不 可 抗拒 的 灾难 和 意外 时 ， 容 灾 系 统 将 保 
证 用 户 数据 的 安全 性 (数据 容 灾 )。 甚 至 ， 一 个 更 加 完善 的 容 灾 系 统 还 能 提供 不 间断 的 应 用 
服务 (应 用 容 灾 )。 可 以 说 ， 容 灾 系 统 是 存储 应 用 的 最 高 境界 。 


4.7.1 数据 容 灾 概述 
1. 容 灾 系 统 和 容 灾 备 份 


这 里 所 说 的 “ 灾 ” 具 体 是 指 计算 机 网 络 系统 遇 到 的 自然 灾难 (洪水 、 飓 风 、 地 震 )、 外 
在 事件 (电力 或 通信 中 断 )、 技 术 失灵 及 设备 受 损 (火灾 ) 等 。 容 灾 ( 或 容 灾 备 份 ) 就 是 指 计算 机 
网 络 系统 在 遇 到 这 些 灾难 时 仍 能 保证 系统 数据 的 完整 性 、 可 用 性 和 系统 正常 运行 。 

对 于 那些 业务 不 能 中 断 的 用 户 和 行业 (如 银行 、 证 券 、 电 信 等 )， 因 为 其 关键 业务 的 特 
殊 性 ， 必 须 有 相应 的 容 灾 系统 进行 防护 。 保 持 业务 的 连续 性 是 当今 企业 用 户 需 要 考虑 的 一 
个 极为 重要 的 问题 ， 而 容 灾 的 目的 就 是 保证 关键 业务 的 可 靠 运 行 。 利 用 容 灾 系统 ， 用 户 把 
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关键 数据 存放 在 异地 ， 当 生产 中 心 发 生 灾难 时 ,备份 中 心 可 以 很 快 将 系统 接管 并 运行 起 来 。 

从 概念 上 讲 ， 容 灾 备 份 是 指 通过 技术 和 管理 的 途径 ， 确 保 在 灾难 发 生 后 ， 企 事业 单位 
的 关键 数据 、 数 据 处 理 系统 和 业务 在 短 时 间 内 能 够 恢复 。 因 此 ， 在 实施 容 灾 备 份 项 目 之 前 ， 
企 事业 单位 首先 要 分 析 哪 些 数据 最 重要 ， 哪 些 数据 要 做 备份 、 容 灾 ， 这 些 数据 价值 多 少 ， 
再 决定 采用 何 种 形式 的 容 灾 备 份 。 

在 欧美 发 达 国 家 ， 企 业 对 容 灾 备份 的 投入 相对 是 较 高 的 。 据 国外 权威 机 构 调查 ，2002 
年 ， 全 球 2000 家 大 型 企业 用 于 容 灾 备份 的 资金 占 企 业 IT 支出 的 2% 一 4%， 而 当年 关于 容 
灾 备 份 的 支出 则 是 2000 年 的 3 倍 。 在 国内 , 越 来 越 多 的 企业 也 已 经 意识 到 存储 信息 的 重要 


”性 ， 正 处 于 从 数据 分 散 存储 向 集中 存储 转变 的 过 程 ， 开 始 投资 搭建 存储 系统 。 但 还 有 许多 


企业 没有 意识 到 容 灾 备 份 是 信息 存储 的 一 个 重要 环节 。 

目前 国内 专门 提供 容 灾 服务 的 备份 中 心 还 处 于 起 步 阶段 ， 虽 然 有 一 些 由 电信 企业 提供 
的 容 灾 备份 中 心 ， 但 由 于 大 部 分 企业 对 容 灾 备份 中 心 及 提供 的 服务 并 不 了 解 ， 因 而 利用 率 
不 高 。 

现在 ， 容 灾 备 份 的 技术 和 市 场 正 处 于 一 个 快速 发 展 的 阶段 。 据 权威 机 构 研究 表明 ， 亚 
太 地 区 (不 包括 日 本 ) 容 灾 备 份 市 场 每 年 增幅 有 20%， 到 2006 年 将 达到 13 亿美 元 ， 而 中 国 
市 场 每 年 的 增幅 将 达到 46%， 这 是 一 个 尚 待 开采 的 “ 金 矿 ”。 在 此 契机 下 ， 国 家 已 将 容 灾 
备份 作为 今后 信息 发 展 规划 中 的 一 个 重点 ， 各 地 方 和 行业 准备 或 已 建立 起 一 些 容 灾 备 份 中 
心 。 这 不 仅 可 以 为 大 型 企业 和 部 门 提供 容 灾 服 务 ， 也 可 以 为 大 量 的 中 小 企业 提供 不 同 需求 
的 容 灾 服 务 。 

2. 数据 容 灾 与 数据 备份 的 关系 

许多 用 户 对 经 常 听 到 的 数据 容 灾 这 种 说 法 不 理解 ， 把 数据 容 灾 与 数据 备份 等 同 起 来 ， 
其 实 这 是 错误 的 ， 至 少 是 不 全 面 的 。 

备份 与 容 灾 不 是 等 同 的 关系 ， 而 是 两 个 “交集 ”， 中 间 有 大 部 分 的 重合 关系 。 多 数 容 
灾 工 作 可 由 备份 来 完成 ， 但 容 灾 还 包括 网 络 等 其 他 部 分 ， 而 且 只 有 容 灾 才 能 保证 业务 的 连 
续 性 。 所 以 说 ， 如 果 对 容 灾 的 要 求 高 ， 仅 仅 依赖 备份 是 不 够 的 。 但 目前 ， 国 内 很 多 客户 、 
系统 集成 商 认 为 ， 容 灾 就 是 将 两 套 存储 设备 连接 起 来 ， 这 种 观点 是 片面 的 。 

数据 容 灾 与 数据 备份 的 关系 主要 体现 在 以 下 几 个 方面 。 

1) “数据 备份 是 数据 容 灾 的 基础 

数据 备份 是 数据 高 可 用 性 的 一 道 安 全 防线 ， 其 目的 是 为 了 在 系统 数据 崩溃 时 能 够 快速 
地 恢复 数据 。 虽 然 它 也 算 一 种 容 灾 方 案 ， 但 这 样 的 容 灾 能 力 非常 有 限 ， 因 为 传统 的 备份 主 
要 是 采用 数据 内 置 或 外 置 的 磁带 机 进行 冷 备 份 ， 备 份 磁带 同时 也 在 机 房 中 统一 管理 ， 一 旦 
整个 机 房 出 现 了 灾难 (如 火灾 、 资 窃 和 地 震 等 )， 这 些 备份 磁带 也 将 随 之 销毁 ， 所 存储 的 磁 
带 备 份 将 起 不 到 任何 容 灾 作用 。 

2) ” 容 灾 不 是 简单 备份 

显然 ， 容 灾 备 份 不 等 同 于 一 般 意义 上 的 业务 数据 备份 与 恢复 。 数 据 备份 与 恢复 只 是 容 
灾 备 份 中 的 一 部 分 。 容 灾 备 份 系统 还 包括 最 大 范围 的 容 灾 、 最 大 限度 地 减少 数据 丢失 、 实 
时 切换 、 短 时 间 恢 复 等 多 项 内 容 。 可 以 说 ， 容 灾 备 份 正在 成 为 保护 企 事业 单位 关键 数据 的 
一 种 有 效 手段 。 容 灾 备 份 系统 的 核心 技术 是 数据 复制 。 


4 总 ” 数 据 库 与 数据 安全 区 机 @@ 


真正 的 数据 容 灾 就 是 要 避免 传统 冷 备份 所 具有 的 先天 不 足 ， 要 能 在 灾难 发 生 时 全 面 、 
及 时 地 恢复 整个 系统 。 容 灾 按 其 能 力 的 高 低 可 分 为 多 个 层次 ， 如 国际 标准 SHARE 78 定义 
的 容 灾 系统 有 7 个 层次 ， 从 最 简单 的 仅 在 本 地 进行 磁带 备份 ， 到 将 备份 的 磁带 存储 在 异地 ， 
再 到 建立 应 用 系统 实时 切换 的 异地 备份 系统 ， 恢 复 时 间 最 少 是 几 天 或 几 小 时 ， 甚 至 到 分 钟 
级 、 秒 级 或 零 数 据 丢 失 等 。 

无 论 采 用 哪 种 容 灾 方案 ， 数 据 备份 还 是 最 基础 的 ， 没 有 备份 的 数据 ， 任 何 容 灾 方案 都 
没有 现实 意义 。 但 仅 有 备份 是 不 够 的 ， 容 灾 也 必 不 可 少 。 容 灾 对 于 IT 而 言 ， 就 是 提供 一 个 
能 防止 各 种 灾难 的 计算 机 信息 系统 。 

3) ” 容 灾 不 仅仅 是 技术 

容 灾 不 仅仅 是 一 项 技术 , 更 是 一 项 工程 。 目 前 很 多 客户 还 停留 在 对 容 灾 技 术 的 关注 上 ， 
而 对 容 灾 的 流程 、 规 范 及 其 具体 措施 还 不 太 清楚 ， 也 从 不 对 容 灾 方案 的 可 行 性 进行 评估 ， 
认为 只 要 建立 了 容 灾 方案 即 可 放心 了 ， 其 实 这 是 具有 很 大 风险 的 。 特 别 是 在 一 些 中 小 企 事 
业 单 位 中 ， 认 为 自己 的 企 事业 单位 为 了 数据 备份 和 容 灾 ， 年 年 花费 了 大 量 的 人 力 和 财力 ， 
而 结果 几 年 下 来 根本 就 没有 发 生 过 任何 大 的 灾难 ， 于 是 放松 了 警惕 。 可 一 旦 发 生 了 灾难 ， 
将 损失 巨大 。 这 一 点 国外 的 跨国 公司 就 做 得 非常 好 ， 尽 管 几 年 下 来 的 确 未 出 现 大 的 灾难 ， 
备份 了 那么 多 磁带 ， 几 乎 没有 派 上 任何 用 场 ， 但 仍 一 如 既往 非常 认真 地 做 好 每 一 步 ， 并 且 
基本 上 每 月 都 有 对 现行 容 灾 方 案 的 可 行 性 进行 评估 ， 进 行 实地 演练 。 

3. 数据 容 灾 的 等 级 

设计 一 个 容 灾 备份 系统 ， 需 要 考虑 多 方面 的 因素 ， 如 备份 /恢复 数据 量 的 大 小 、 应 用 数 
据 中 心 和 备 援 数 据 中 心 之 间 的 距离 和 数据 传输 方式 、 灾 难 发 生 时 所 要 求 的 恢复 速度 、 备 援 
中 心 的 管理 及 投入 等 。 根 据 这 些 因素 和 不 同 的 应 用 场合 ， 常 见 的 容 灾 备份 可 分 为 以 下 4 个 
等 级 。 

(1) 第 0 级 : 本 地 复制 、 本 地 保存 的 冷 备份 。 

第 0 级 容 灾 备份 ， 实 际 上 就 是 上 面 所 指 的 数据 备份 。 它 的 容 灾 恢复 能 力 最 弱 ， 只 在 本 
地 进行 数据 备份 ， 并 且 备 份 的 数据 磁带 保存 在 本 地 ， 没 有 送 往 异 地 。 

在 这 种 容 灾 方 案 中 ， 最 常用 的 设备 就 是 磁带 机 ， 当 然 根 据 实 际 需要 可 以 是 手工 加 载 磁 
带 机 ， 也 可 以 是 自动 加 载 磁带 机 。 如 IBM 的 TotalStorage Ultrium 外 置式 磁带 机 3580， 单 
盒 磁 盘 容 量 可 达 200GB, 压缩 后 可 存储 400GB 数据 , 可 满足 绝 大 多 数 中 小 企 事业 单位 乃至 
大 型 企 事 业 单位 的 数据 备份 需求 。 

(2) 第 1 级 本 地 复制 、 异 地 保存 的 冷 备份 。 

在 本 地 将 关键 数据 备份 ， 然 后 送 到 异地 保存 ， 如 交 由 银行 保管 。 灾 难 发 生 后 ， 按 预定 
数据 恢复 程序 恢复 系统 和 数据 。 这 种 容 灾 方案 也 是 采用 磁带 机 等 存储 设备 进行 本 地 备份 ， 
同样 还 可 以 选择 磁带 库 、 光 盘 库 等 进行 备份 。 

常见 到 一 些 公 司 为 了 避免 备份 磁带 因 机 房 安 全 问题 而 出 现 磁 带 被 盗 、 被 毁 ， 把 备份 磁 
带 ， 特 别 是 月 以 上 的 备份 磁带 放 入 专门 的 保险 柜 ， 甚 至 租用 银行 的 专门 保险 箱 来 存放 这 些 
备份 磁带 。 但 这 还 不 能 说 是 万 无 一 失 ， 原 因 就 是 一 般 这 些 保 管 磁带 的 地 点 与 所 在 公司 在 同 
一 城市 中 ， 万 一 出 现 了 地 震 、 战 争 之 类 的 自然 灾难 ， 这 些 备 份 磁带 还 是 难 逃 厄运 。 

(3) 第 2 级 : 热 备 份 站 点 备份 。 


第 2 级 是 指 在 异地 建立 一 个 热 备 份 点 ， 通 过 网 络 进行 数据 备份 。 也 就 是 通过 网 络 以 同 
步 或 异步 方式 ， 把 主 站 点 的 数据 复制 到 备份 站 点 。 备 份 站 点 一 般 只 备份 数据 ， 不 承担 其 他 
业务 。 当 出 现 灾难 时 ， 备 份 站 点 接替 主 站 点 的 业务 ， 从 而 维护 业务 系统 运行 的 连续 性 。 

这 种 异地 远程 数据 容 灾 方案 的 容 灾 地 点 通常 要 选择 在 距离 本 地 不 小 于 20km 的 范围 ， 
采用 与 本 地 磁盘 阵列 相同 的 配置 ， 通 过 光纤 以 元 余 方 式 接 入 到 SAN( 存 储 区 域 网 ) 网 络 中 实 
现 本 地 关键 应 用 数据 的 实时 同步 复制 。 在 本 地 数据 及 整个 应 用 系统 出 现 灾难 时 ， 系 统 至 少 
在 异地 保存 一 份 可 用 的 关键 业务 的 备份 数据 。 该 数据 是 本 地 数据 的 完全 实时 复制 。 对 于 较 
大 的 企 事业 单位 网 络 来 说 , 建立 的 数据 容 灾 系统 由 主 数据 中 心 和 备份 数据 中 心 组 成 。 其中， 
主 数 据 中 心 采 用 高 可 靠 性 集群 解决 方案 设计 , 备份 数据 中 心 与 主 数据 中 心 通过 光纤 相连 接 。 
数据 存储 在 主 数 据 中 心 的 存储 磁盘 阵列 中 ， 同 时 ， 在 异地 备份 数据 中 心 配 置 相同 结构 的 存 
储 磁盘 阵列 和 一 台 或 多 台 备份 服务 器 。 通 过 专用 的 灾难 恢复 软件 可 以 自动 实现 主 数 据 中 心 
的 存储 数据 与 备份 数据 中 心 数据 的 实时 完全 备份 。 在 主 数 据 中 心 ， 按 照 用 户 要 求 ， 还 可 以 
配置 磁带 备份 服务 器 ， 用 来 安装 备份 软件 和 磁带 库 。 备 份 服务 器 直接 连接 到 存储 阵列 和 磁 
带 库 ， 控 制 系 统 的 日 常数 据 的 磁带 备份 。 两 个 数据 中 心 利用 它们 之 间 的 光 传输 设备 ， 通 过 
光纤 组 成 光 自 愈 环 ， 可 提供 总 共 高 达 80Gb/s( 保 护 ) 和 160Gb/s( 非 保护 ) 的 通信 带宽 。 

(4) 第 3 级 : 活动 互 援 备份 。 

活动 互 援 备份 异地 容 灾 方 案 与 前 面 介绍 的 热 备 份 站 点 备份 方案 差不多 ， 其 中 的 备份 数 
据 中 心 就 是 备 援 数据 中 心 。 不 同 的 只 是 主 、 从 系统 的 关系 不 再 是 固定 的 ， 而 是 互 为 对 方 的 
备份 系统 。 这 两 个 数据 中 心 系统 分 别 在 相隔 较 远 的 地 方 建立 ， 它 们 都 处 于 工作 状态 ， 并 进 
行 相互 数据 备份 。 当 某 个 数据 中 心 发 生 灾难 时 ， 另 一 个 数据 中 心 接替 其 工作 任务 。 通 常 在 
这 两 个 系统 中 的 光纤 设备 连接 中 还 提供 元 余 通道 , 以 备 工作 通道 出 现 故 障 时 及 时 接替 工作 。 
当然 ， 采 取 这 种 容 灾 方式 的 主要 是 资金 实力 较为 雄厚 的 大 型 企 事业 单位 。 

该 级 别 的 容 灾 备 份 根据 实际 要 求 和 投入 资金 的 多 少 ， 可 有 两 种 实现 形式 。 

@ 两 个 数据 中 心 之 间 只 限于 关键 数据 的 相互 备份 。 

@ 两 个 数据 中 心 之 间 互 为 镜像 。 

两 个 数据 中 心 之 间 互 为 镜像 可 做 到 零 数 据 丢 失 ， 这 是 目前 要 求 最 高 的 一 种 容 灾 备份 方 
式 ， 它 要 求 不 管 什么 灾难 发 生 ， 系 统 都 能 保证 数据 的 安全 。 所 以 ， 它 需要 配置 复杂 的 管理 
软件 和 专用 的 硬件 设备 ， 需 要 的 投资 相对 是 最 大 的 ， 但 恢复 速度 也 是 最 快 的 。 

以 上 第 2 级 、 第 3 级 两 种 热 备份 方式 不 再 是 传统 的 磁带 冷 备份 方式 , 而 是 通过 SAN 等 
先进 的 通道 技术 ， 把 服务 器 数据 同步 或 异步 存储 在 远程 专用 存储 设备 上 。 在 这 两 种 热 备份 
容 灾 方 案 中 ， 主 要 的 备份 设备 包括 磁盘 阵列 、 光 纤 交 换 机 或 磁盘 机 等 。 


4. 容 灾 系 统 


容 灾 系 统 包括 数据 容 灾 和 应 用 容 灾 两 部 分 。 数 据 容 灾 可 保证 用 户 数据 的 完整 性 、 可 靠 
性 和 一 致 性 ， 但 不 能 保证 服务 不 被 中 断 。 应 用 容 灾 是 在 数据 容 灾 的 基础 上 ， 在 异地 建立 一 
套 完整 的 与 本 地 生产 系统 相当 的 备份 应 用 系统 ， 在 灾难 情况 下 ， 远 程 系统 迅速 接管 业务 运 
行 ， 提 供 不 间断 的 应 用 服务 ， 让 客户 的 服务 请 求 能 够 继续 。 可 以 说 ， 数 据 容 灾 是 系统 能 够 
正常 工作 的 保障 ; 而 应 用 容 灾 则 是 容 灾 系统 建设 的 目标 ， 它 是 建立 在 可 靠 的 数据 容 灾 基础 
上 ， 通 过 应 用 系统 、 网 络 系 统 等 各 种 资源 之 间 的 良好 协调 来 实现 的 。 
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1) “本 地 容 灾 

本 地 容 灾 的 主要 手段 是 容错 。 容 错 的 基本 思想 就 是 利用 外 加 资源 的 元 余 技 术 来 达到 屏 
蔽 故障 、 自 动 恢复 系统 或 安全 停机 的 目的 。 容 错 是 以 牺牲 外 加 资源 为 代价 来 提高 系统 可 靠 
性 的 。 外 加 资源 的 形式 很 多 ， 主 要 有 硬件 元 余 、 时 间 宛 余 、 信 息 元 余 和 软件 元 余 。 容 错 技 
术 的 使 用 使 得 容 灾 系 统 能 恢复 大 多 数 的 故障 ， 然 而 当 遇 到 自然 灾害 及 战争 等 意外 时 ， 仅 采 
用 本 地 容 灾 技 术 并 不 能 满足 要 求 ， 这 时 应 考虑 采用 异地 容 灾 保 护 措 施 。 

在 系统 设计 中 ， 企 业 一 般 考虑 做 数据 备份 和 采用 主机 集群 的 结构 ， 因 为 它们 能 解决 本 
地 数据 的 安全 性 和 可 用 性 。 目 前 人 们 所 关注 的 容 灾 ， 大 部 分 也 都 只 是 停留 在 本 地 容 灾 的 层 
面 上 。 

2) “异地 容 灾 

异地 容 灾 是 指 在 相隔 较 远 的 异地 ， 建 立 两 套 或 多 套 功 能 相同 的 系统 。 当 主 系统 因 意 外 
原因 停止 工作 时 ， 备 用 系统 可 以 接替 工作 ， 保 证 系统 的 不 间断 运行 。 异 地 容 灾 系统 采用 的 
主要 方法 是 数据 复制 ， 目 的 是 在 本 地 与 异地 之 间 确 保 各 系统 关键 数据 和 状态 参数 的 一 致 。 

异地 容 灾 系 统 具备 应 对 各 种 灾难 特别 是 区 域 性 与 毁灭 性 灾难 的 能 力 ， 具 备 较 为 完善 的 
数据 保护 与 灾难 恢复 功能 ， 保 证 灾难 降临 时 数据 的 完整 性 及 业务 的 连续 性 ， 并 在 最 短 时 间 
内 恢复 业务 系统 的 正常 运行 ， 将 损失 降 到 最 小 。 其 系统 一 般 由 生产 系统 、 可 接替 运行 的 后 
备 系 统 、 数 据 备份 系统 、 备 用 通信 线路 等 部 分 组 成 。 在 正常 生产 和 数据 备份 状态 下 ， 生 产 
系统 向 备份 系统 传送 需 备 份 的 数据 。 灾 难 发 生 后 ， 当 系统 处 于 灾难 恢复 状态 时 ， 备 份 系统 
将 接替 生产 系统 继续 运行 。 此 时 重要 营业 终端 用 户 将 从 生产 主机 切换 到 备份 中 心 主机 ， 继 
续 对 外 营业 。 

从 广义 上 讲 ， 任 何 提高 系统 可 用 性 的 努力 都 可 称 为 容 灾 。 但 是 现在 人 们 谈 及 容 灾 往 往 
只 是 针对 本 地 容 灾 而 言 的 。 但 对 企业 来 讲 ， 仅 有 本 地 容 灾 是 远 远 不 够 的 ， 更 多 的 应 是 异地 
容 灾 。 因 此 一 套 完整 的 容 灾 方案 应 该 包括 本 地 容 灾 系 统 和 异地 容 灾 系统 。 另 外 ， 容 灾 系 统 
还 必须 要 有 有 效 的 管理 机 制 。 


4.7.2 ”数据 容 灾 技术 
1. 容 灾 技 术 概述 


容 灾 系统 的 核心 技术 是 数据 复制 ， 目 前 主要 有 同步 数据 复制 和 异步 数据 复制 两 种 。 同 
步 数据 复制 是 指 通过 将 本 地 生产 数据 以 完全 同步 的 方式 复制 到 异地 ， 每 一 个 本 地 IO 交易 
均 需 等 待 远程 复制 的 完成 方 予 以 释放 。 异 步 数据 复制 是 指 将 本 地 生产 数据 以 后 台 方 式 复制 
到 异地 ， 每 一 个 本 地 IO 交易 均 正常 释放 ， 无 须 等 待 远程 复制 的 完成 。 数 据 复制 对 数据 系 
统 的 一 致 性 和 可 靠 性 以 及 系统 的 应 变 能 力 具有 举足轻重 的 作用 ， 它 决定 着 容 灾 系统 的 可 靠 
性 和 可 用 性 。 

对 数据 库 系统 可 采用 远程 数据 库 复制 技术 来 实现 容 灾 。 这 种 技术 是 由 数据 库 系统 软件 
来 实现 数据 库 的 远程 复制 和 同步 的 。 基 于 数据 库 的 复制 方式 可 分 为 实时 复制 、 定 时 复制 和 
存储 转发 复制 ， 并 且 在 复制 过 程 中 ， 还 有 自动 冲突 检测 和 解决 的 手段 ， 以 保证 数据 的 一 臻 
性 不 受 破坏 。 远 程 数据 库 复制 技术 对 主机 的 性 能 有 一 定 影响 ， 可 能 增加 对 磁盘 存储 容量 的 
需求 ， 但 系统 运行 恢复 较 简单 ， 实 时 复制 方式 时 数据 一 致 性 较 好 ， 所 以 对 于 一 些 对 数据 一 
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致 性 要 求 较 高 、 数 据 修改 更 新 较 频 繁 的 应 用 ， 可 采用 基于 数据 库 的 容 灾 备份 方案 。 

目前 ， 业 内 实施 比较 多 的 容 灾 技术 是 基于 智能 存储 系统 的 远程 数据 复制 技术 。 它 使 知 
能 存储 系统 自身 实现 数据 的 远程 复制 和 同步 ， 即 智能 存储 系统 将 对 本 系统 中 的 存储 器 IO 
操作 请 求 复制 到 远 端的 存储 系统 中 并 执行 ， 以 保证 数据 的 一 致 性 。 

还 可 以 采用 基于 逻辑 磁盘 卷 的 远程 数据 复制 技术 进行 容 灾 。 这 种 技术 就 是 将 物理 存储 
设备 划分 为 一 个 或 者 多 个 逻辑 磁盘 卷 (Volume)， 便 于 数据 的 存储 规划 和 管理 。 逻 辑 磁盘 卷 
可 理解 为 在 物理 存储 设备 和 操作 系统 之 间 增 加 一 个 逻辑 存储 管理 层 。 基 于 逻辑 磁盘 卷 的 远 
程 数 据 复制 是 指 根据 需要 将 一 个 或 多 个 卷 进行 远程 同步 或 异步 复制 。 该 方案 通常 通过 软件 


| 来 实现 ， 基 本 配置 包括 卷 管理 软件 和 远程 复制 控制 管理 软件 。 由 于 逻辑 磁盘 卷 的 远程 数据 


复制 是 基于 逻辑 存储 管理 技术 ， 一 般 与 主机 系统 、 物 理 存 储 系统 设备 无 关 ， 对 物理 存储 系 
统 自身 的 管理 功能 要 求 不 高 ， 有 较 好 的 可 管理 性 。 

在 建立 容 灾 备份 系统 时 会 涉及 多 种 技术 ， 具 体 有 SAN 和 NAS 技术、 远程 镜像 技术 、 
虚拟 存储 技术 、 基 于 了 P 的 SAN 的 互联 技术 、 快 照 技 术 等 。 


2. SAN 和 NAS 技术 


SAN(Storage Area Network， 存 储 区 域 网 ) 提 供 一 个 存储 系统 、 备 份 设备 和 服务 器 相互 
连接 的 架构 。 它 们 之 间 的 数据 不 再 在 以 太 网 上 流通 ， 从 而 大 大 提高 了 以 太 网 的 性 能 。 正 由 
于 存储 设备 与 服务 器 完全 分 离 ， 用户 获得 一 个 与 服务 器 分 开 的 存储 管理 理念 。 复 制 、 备 份 、 
恢复 数据 和 安全 的 管理 可 以 以 中 央 的 控制 和 管理 手段 进行 ， 加 上 把 不 同 的 存储 池 以 网 络 方 
式 连接 ， 用 户 可 以 以 任何 需要 的 方式 访问 他 们 的 数据 ， 并 获得 更 高 的 数据 完整 性 。 

NAS(Network Attached Storage， 网 络 附 加 存储 ) 使 用 了 传统 以 太 网 和 卫 协议 ， 当 进行 
文件 共享 时 ， 则 利用 NFS 和 CIFS(Common Intermet File System) 沟 通 NT 和 UNIX 系统 。 由 
于 NFS 和 CIFS 都 是 基于 操作 系统 的 文件 共享 协议 , 所 以 NAS 的 性 能 特点 是 进行 小 文件 级 
的 共享 存 取 。 

SAN 以 光纤 通道 交换 机 和 光纤 通道 协议 为 主要 特征 的 本 质 决 定 了 它 在 性 能 、 距 离 、 管 
理 等 方面 的 诸多 优点 。 而 NAS 的 部 署 非常 简单 ， 只 需 与 传统 交换 机 连接 即 可 ;NAS 的 成 
本 较 低 , 因为 它 的 投资 仅 限于 一 台 NAS 服务 器 , 而 不 像 SAN 是 整个 存储 网 络 , 同时 , NAS 
服务 器 的 价格 往往 是 针对 中 小 企业 定位 的 ，NAS 服务 器 的 管理 也 非常 简单 ， 它 一 般 都 支持 
Web 的 客户 端 管理 ， 对 熟悉 操作 系统 的 网 络 管理 人 员 来 说 ， 其 设置 既 熟悉 又 简单 。 概 括 来 
说 ，SAN 对 于 高 容量 块 状 级 数据 传输 具有 明显 的 优势 ， 而 NAS 则 更 加 适合 文件 级 别 上 的 
数据 处 理 。SAN 和 NAS 实际 上 也 是 能 够 相互 补充 的 存储 技术 。 

SAN 的 高 可 用 性 是 基于 它 对 灾难 恢复 、 在 线 备份 能 力 和 对 元 余 存 储 系统 和 数据 的 时 效 
切换 能 力 。NAS 应 用 成 熟 的 网 络 结构 提供 快速 的 文件 存 取 和 高 可 用 性 、 数 据 复制 等 功能 可 
以 保护 和 提供 稳固 的 文件 级 存储 。 


3. 远程 镜像 技术 

远程 镜像 技术 用 在 主 数据 中 心 和 备 援 数 据 中 心 之 间 的 数据 备份 。 两 个 镜像 系统 一 个 叫 
主 镜像 系统 ， 另 一 个 叫 从 镜像 系统 。 按 主 、 从 镜像 存储 系统 所 处 的 位 置 可 分 为 本 地 镜像 和 
远程 镜像 。 

远程 镜像 又 叫 远 程 复制 ， 是 容 灾 备份 的 核心 技术 ， 同 时 也 是 保持 远程 数据 同步 和 实现 
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灾难 恢复 的 基础 。 远 程 镜像 按 请 求 镜像 的 主机 是 否 需 要 远程 镜像 站 点 的 确认 信息 ， 又 可 分 
为 同步 远程 镜像 和 异步 远程 镜像 。 

同步 远程 镜像 (同步 复制 技术 ) 是 指 通 过 远程 镜像 软件 ， 将 本 地 数据 以 完全 同步 的 方式 
复制 到 异地 ， 每 一 个 本 地 的 VO 事务 均 需 等 待 远程 复制 的 完成 确认 信息 ， 方 可 予以 释放 。 
同步 镜像 使 远程 复制 总 能 与 本 地 机 要 求 复制 的 内 容 相 匹配 。 当 主 站 点 出 现 故 障 时 ， 用 户 的 
应 用 程序 切换 到 备份 的 替代 站 点 后 ， 被 镜像 的 远程 副本 可 以 保证 业务 继续 执行 而 没有 数据 
的 丢失 。 但 同步 远程 镜像 系统 存在 往返 传输 造成 延 时 较 长 的 缺点 ， 因 此 只 限于 在 相对 较 近 
的 距离 间 应 用 。 

异步 远程 镜像 (异步 复制 技术 ) 保 证 在 更 新 远程 存储 视图 前 完成 向 本 地 存储 系统 的 基本 
LO 操作 ,而 由 本 地 存储 系统 提供 完成 确认 信息 给 请 求 镜像 主机 的 IO 操作 。 远 程 的 数据 复 
制 是 以 后 台 同 步 方式 进行 的 , 这 使 本 地 系统 性 能 受到 的 影响 很 小 , 传输 距离 远 (可 达 1000km 
以 上 )， 对 网 络 带宽 要 求 低 。 但 是 ， 许 多 远程 的 从 属 存储 子 系统 的 写 操作 尚未 得 到 确认 ， 此 
时 某 种 因素 造成 数据 传输 失败 时 ， 可 能 会 出 现 数据 的 不 一 致 性 问题 。 为 了 解决 这 个 问题 ， 
目前 大 多 采用 延迟 复制 的 技术 ， 即 在 确保 本 地 数据 完好 无 损 后 进行 远程 数据 更 新 。 


4. 快照 技术 


远程 镜像 技术 往往 同 快照 技术 结合 起 来 实现 远程 备份 ， 即 通过 镜像 把 数据 备份 到 远程 
存储 系统 中 ， 再 用 快照 技术 把 远程 存储 系统 中 的 信息 备份 到 远程 的 磁带 库 、 光 盘 库 中 。 

快照 是 通过 软件 对 要 备份 的 磁盘 子 系统 的 数据 快速 扫描 ， 建 立 一 个 要 备份 数据 的 快照 
逻辑 单元 号 (LUN) 和 快照 Cache。 在 快速 扫描 时 ,把 备份 过 程 中 即将 要 修改 的 数据 块 同时 快 
速 复制 到 快照 Cache 中 。 快照 LUN 是 一 组 指针 , 它 指向 快照 Cache 和 磁盘 子 系统 中 不 变 的 
数据 块 (在 备份 过 程 中 )。 在 正常 业务 进行 的 同时 ， 利 用 快照 LUN 实现 对 原 数据 的 一 个 完全 
备份 。 它 可 使 用 户 在 正常 业务 不 受 影响 的 情况 下 ， 实 时 提取 当前 在 线 业务 数据 。 其 “备份 
窗口 ”接近 于 零 ， 可 大 大 增加 系统 业务 的 连续 性 ， 为 实现 系统 真正 的 7dx24h 运转 提供 了 
保证 。 

5. 互联 技术 


早期 的 主 数据 中 心 和 备 援 数据 中 心 之 间 的 数据 备份 ， 主 要 是 基于 SAN 的 远程 复制 ( 镜 
司 像 )， 即 通过 光纤 通道 把 两 个 SAN 连接 起 来 ， 进 行 远程 镜像 (复制 )。 当 灾难 发 生 时 ， 由 备 
援 数据 中 心 替 代 主 数据 中 心 保 证 系统 工作 的 连续 性 。 这 种 远程 容 灾 备份 方式 存在 一 些 缺 陷 ， 
如 实现 成 本 高 、 设 备 的 互 操 作 性 差 、 跨 越 的 地 理 距离 短 (10km) 等 ， 这 些 因素 阻碍 了 它 的 进 
一 步 推广 和 应 用 。 

目前 , 出现 了 多 种 基于 人 P 的 SAN 的 远程 数据 容 灾 备份 技术 。 它 们 是 利用 基于 他 的 SAN 
的 互联 协议 ， 将 主 数据 中 心 SAN 中 的 信息 通过 现 有 的 TCP/IP 网 络 ， 远 程 复制 到 备 援 中 心 
SAN 中 。 当 备 援 中 心 存 储 的 数据 量 过 大 时 , 可 利用 快照 技术 将 其 备份 到 磁带 库 或 光盘 库 中 。 
这 种 基于 IP 的 SAN 的 远程 容 灾 备份 ， 可 以 跨越 LAN、MAN 和 WAN， 其 成 本 低 、 扩 展 性 
好 ， 具 有 广阔 的 发 展 前 景 。 基 于 了 的 互联 网 协议 有 FCIP、 下 CP、Infiniband、iSCSI 等 。 


6. 虚拟 存储 技术 
在 有 些 容 灾 方案 中 ， 还 采取 了 虚拟 存储 技术 ， 如 西 瑞 异地 容 灾 方 案 。 虚 拟 化 存储 技术 


Q@_ 


在 系统 弹性 和 可 扩展 性 方面 开创 了 新 的 局 面 。 它 将 几 个 IDE 或 SCSI 驱动 器 等 不 同 的 存储 
设备 串联 成 一 个 存储 器 池 。 存 储 器 池 的 整个 存储 容量 可 以 分 为 多 个 逻辑 卷 ， 并 作为 虚拟 分 
区 进行 管理 。 存 储 由 此 成 为 一 种 功能 而 非 物理 属性 ， 而 这 正 是 基于 服务 器 的 存储 结构 存在 
的 主要 限制 。 

虚拟 存储 系统 还 提供 了 动态 改变 逻辑 卷 大 小 的 功能 。 事 实 上 ， 存 储 卷 的 容量 可 以 在 线 
随意 增加 或 减少 。 可 以 通过 在 系统 中 增加 或 减少 物理 磁盘 的 数量 来 改变 集群 中 逻辑 卷 的 大 
小 。 这 一 功能 允许 卷 的 容量 随 用 户 的 即时 要 求 而 动态 改变 。 另 外 ， 存 储 卷 能 够 很 容易 地 改 
Se 移动 和 替换。 安装 系统 时 ， 只 需 为 每 个 逻辑 卷 分 配 最 小 的 容量 ， 并 在 磁盘 上 留 出 


| 剩余 的 空间 。 随 着 业务 的 发 展 ， 可 利用 剩余 空间 根据 需要 扩展 逻辑 卷 ， 也 可 以 将 数据 在 线 


从 旧 驱 动 器 转移 到 新 的 驱动 器 上 ， 而 不 中 断 正常 服务 的 运行 
存储 虚拟 化 的 一 个 关键 优势 是 它 妈 许 异 构 系统 和 应 用 程序 共 享 存 傅 设备 ， 而 不 管 它们 
位 于 何 处 。 系 统 将 不 再 需要 在 每 个 分 部 的 服务 器 上 都 连接 一 台 磁 带 设备 。 


复习 思考 题 四 

一 、 填 空 题 

1. 按 数 据 备份 时 备份 的 数据 不 同 ， 可 有 和 按 需 备 

2 tote rg 3 类 : 和 重 定向 恢复 。 

3. 数据 备份 是 数据 容 

4. os 4 级 : 第 级 、 第 《 级 、 第 级 和 
第 级 。 

5. 数据 的 是 指 保护 网 络 中 存储 和 传输 数据 不 被 非法 改变 。 

6. 数据 库 安全 包括 数据 库 安全 性 和 数据 库 安全 性 两 层 含义 。 

7. 是 指 在 多 用 户 的 环境 下 ， 对 数据 库 的 并 行 操作 进行 规范 的 机 制 ， 从 而 保 


证 数据 的 正确 性 与 一 致 性 。 

8. 当 故 障 影响 数据 库 系 统 操作 ， 甚 至 使 数据 库 中 数据 全 部 或 部 分 丢失 时 ， 希 望 能 尽快 
恢复 到 原 数据 库 状 态 或 重建 一 个 完整 的 数据 库 ， 该 处 理 称 为 。 

9. 是 指 为 防止 系统 出 现 操 作 失 误 或 系统 故障 导致 数据 丢失 ， 而 将 全 系统 或 


部 分 数据 从 主机 的 硬盘 或 阵列 中 复制 到 其 他 存储 介质 上 的 过 程 。 

10. 影响 数据 完整 性 的 主要 因素 有 、 软 件 故障 、 、 人 为 威胁 和 意 
外 灾难 等 。 

Lh 是 指数 据 库 的 任何 部 分 都 没 受到 侵害 ， 或 没 受 到 未 经 授权 的 存 取 和 修改 。 

12. 数据 的 就 是 数据 与 应 用 程序 之 间 不 存在 相互 依赖 关系 ， 也 就 是 数据 的 还 
辑 结 构 、 存 储 结构 和 存 取 方 法 等 不 因应 用 程序 的 修改 而 改变 ， 反 之 亦 然 。 

二 、 单 项 选择 题 

1. 按 数据 备份 时 数据 库 状态 的 不 同 有 ( 。 )。 


A. 热 备份 B. 冷 备份 C. 逻辑 备份 D.A、B、C 都 对 


2 


3 


4. 
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数据 库 系统 的 安全 框架 可 以 划分 为 网 络 系统 、( ”) 和 DBMS 三 个 层次 。 

A. 操作 系统 B. 数据 库 系 统  C. 软件 系统  D. 容错 系统 

按 备 份 周期 对 整个 系统 所 有 的 文件 进行 备份 的 方式 是 ( 。”) 备 份 。 

A. 完全 B. 增 量 C. 差别 D. 按 需 

在 网 络 备份 系统 中 ，( ”) 是 执行 备份 或 恢复 任务 的 系统 ， 它 提供 一 个 集中 管理 


和 控制 平台 ， 管 理 员 可 以 利用 该 平台 去 配置 整个 网 络 备份 系统 。 


oawmwhhwmhb 一 


A. 目标 B. 工具 C. 通道 D. 存储 设备 
、 问 答题 


. 简 述 数据 库 数据 的 安全 措施 。 
. 什么 叫 数据 库 的 完整 性 ?数据 库 的 完整 性 约束 条 件 有 哪些 ? 
. 什么 叫 数据 备份 ?数据 备份 有 哪些 类 型 ? 


什么 叫 数据 容 灾 ? 数据 容 灾 技术 有 哪些 ? 


. 简要 介绍 同步 远程 镜像 和 异步 远程 镜像 技术 。 
. 简要 介绍 虚拟 存储 技术 。 
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学 习 目 标 

系统 学 习 计算 机 病毒 的 概念 、 特 点 及 分 类 ， 计 算 机 网 络 病毒 的 概念 、 特 点 和 分 类 以 及 
计算 机 网 络 病毒 的 危害 ; 学 习 几 种 典型 病毒 的 原理 及 清除 方法 ; 了 解 计算 机 病毒 发 作 前 、 
发 作 时 和 发 作 后 的 症状 ; 同时 了 解 反 病 毒 技 术 、 计 算 机 病毒 发 展 的 新 技术 和 防 杀 网 络 病毒 
的 软件 等 。 通 过 本 章 的 学 习 ， 读 者 应 掌握 及 了 解 以 下 内 容 。 

@ ”掌握 计算 机 病毒 的 概念 、 特 点 和 分 类 ， 几 种 典型 病毒 的 原理 、 特 征 及 预防 措施 ， 

计算 机 病毒 的 症状 ， 反 病毒 技术 。 
@ ”了解 计算 机 病毒 发 展 的 新 技术 ， 防 杀 网 络 病毒 的 软件 。 


5.1 计算 机 网 络 病毒 的 特点 及 危害 


计算 机 病毒 对 系统 的 危害 是 众所周知 的 。 起 初 的 计算 机 病毒 只 是 在 单机 中 传播 ， 而 如 
今 随 着 计算 机 网 络 应 用 的 日 益 普及 ， 计 算 机 病毒 凭借 互联 网 迅速 地 传播 、 繁 殖 ， 其 速度 和 
危害 性 已 引起 越 来 越 多 人 的 重视 。 目 前 ， 在 网 络 信息 安全 领域 ， 计 算 机 病毒 特别 是 网 络 病 
毒 已 经 成 为 一 种 有 效 的 攻击 手段 。 


5.1.1 计算 机 病毒 的 概念 


“计算 机 病毒 ”与 医学 上 的 “病毒 ”不 同 ， 它 是 根据 计算 机 软 、 硬 件 所 固有 的 弱点 ， 
编制 出 的 具有 特殊 功能 的 程序 。 由 于 这 种 程序 具有 传染 性 和 破坏 性 ， 与 医学 上 的 “病毒 ” 
有 相似 之 处 ， 因 此 习惯 上 将 这 些 “ 具 有 特殊 功能 的 程序 ” 称 为 “计算 机 病毒 ”。 

1983 年 11 月 10 日 , 美国 人 Fred Cohen 以 测试 计算 机 安全 为 目的 , 编写 并 发 布 了 首 个 
计算 机 病毒 。20 多 年 后 的 今天 ， 全 世界 已 约 有 6 万 种 计算 机 病毒 ， 极 大 地 威胁 着 计算 机 信 
息 安全 ， 如 2004 年 上 半年 的 “震荡 波 ”病毒 横扫 全 世界 。“ 震 荡 波 ”病毒 会 在 网 络 中 自动 
搜索 系统 有 漏洞 的 计算 机 ， 并 引导 其 下 载 病毒 文件 并 执行 。 整 个 传播 和 发 作 过 程 不 需要 人 
为 干预 ， 只 要 这 些 计算 机 接 入 Intemet 且 没有 安装 相应 的 系统 补丁 程序 ， 就 有 可 能 被 感染 。 
病毒 会 使 “安全 认证 子 系统 ”进程 (lsass.exe) 崩 溃 ， 致 使 系统 反复 重启 ， 并 且 使 与 安全 认证 
有 关 的 程序 出 现 严 重 运 行 错误 。 

从 广义 上 讲 ， 凡 能 够 引起 计算 机 故障 ， 破 坏 计算 机 数据 的 程序 统称 为 计算 机 病毒 。 依 
据 此 定义 ， 诸 如 逻辑 炸弹 、 蠕 虫 等 均 可 称 为 计算 机 病毒 。 

1994 年 2 月 18 日 ， 我 国正 式 颁布 实施 《中 华人 民 共 和 国 计 算 机 信息 系统 安全 保护 条 
例 》， 在 该 条 例 的 第 二 十 八条 中 明确 指出 ， 计 算 机 病毒 是 指 编制 或 者 在 计算 机 程序 中 插入 
的 破坏 计算 机 功能 ， 或 者 毁坏 数据 、 影 响 计 算 机 使 用 ， 并 能 自我 复制 的 一 组 计算 机 指令 或 
者 程序 代码 。 此 定义 具有 法 律 性 、 权 威 性 。 


第 5 音 ， 计 算 机 病毒 防治 区 机 @@ 


5.1.2 计算 机 病毒 的 特点 
1. 传染 性 


计算 机 病毒 会 通过 各 种 渠道 从 已 被 感染 的 计算 机 扩散 到 未 被 感染 的 计算 机 ， 造 成 被 感 
染 的 计算 机 工作 失常 甚至 瘫痪 。 与 生物 病毒 不 同 的 是 ， 计 算 机 病毒 代码 一 旦 进入 计算 机 并 
执行 ， 它 就 会 搜寻 其 他 符合 传染 条 件 的 程序 或 存储 介质 ， 确 定 目标 后 再 将 自身 代码 插入 其 
中 ， 达 到 自我 繁殖 的 目的 。 

计算 机 病毒 可 以 通过 各 种 可 能 的 渠道 ， 如 软盘 、 计 算 机 网 络 去 传染 其 他 的 计算 机 ， 是 
否 具有 传染 性 是 判别 一 个 程序 是 否 为 计算 机 病毒 的 最 重要 条 件 。 

病毒 具有 正常 程序 的 一 切 特性 ， 它 隐藏 在 正常 程序 中 ， 当 用 户 调用 正常 程序 时 ， 病 毒 
窃取 到 系统 的 控制 权 ， 先 于 正常 程序 执行 ， 病 毒 的 动作 、 目 的 对 用 户 是 未 知 的 ， 是 未 经 用 
户 允 许 的 。 


2. 隐蔽 性 


病毒 通常 附 在 正常 程序 中 或 磁盘 较 隐 蔽 的 地 方 ， 也 有 的 以 隐 含 文件 形式 出 现 ， 目 的 是 
不 让 用 户 发 现 它 的 存在 。 如果 不 经 过 代码 分 析 , 病毒 程序 与 正常 程序 是 不 容易 区 别 开 来 的 。 
在 没有 防护 措施 的 情况 下 ， 受 到 感染 的 计算 机 系统 通常 仍 能 正常 运行 ， 用 户 不 会 感到 任何 
异常 。 大 部 分 的 病毒 代码 设计 得 非常 短小 ， 一 般 只 有 几 百 字 节 或 1KB。 

计算 机 病毒 的 源 程序 可 以 是 一 个 独立 的 程序 体 ， 源 病毒 经 过 扩散 生成 的 再 生病 毒 往往 
采用 附加 和 插入 的 方式 隐藏 在 可 执行 程序 和 数据 文件 中 ， 采 取 分 散 和 多 处 隐藏 的 方式 ; 而 
当 有 病毒 程序 潜伏 的 程序 体 被 合法 调用 时 ， 病 毒 程序 也 合法 进入 ， 并 可 将 分 散 的 程序 部 分 
在 非法 占用 的 存储 空间 进行 重新 装配 ， 构 成 一 个 完整 的 病毒 体 投入 运行 。 


3. 潜伏 性 
大 部 分 的 病毒 感染 系统 之 后 长 期 隐藏 在 系统 中 ， 悄 悄 地 繁殖 和 扩散 而 不 被 发 觉 ， 只 有 


在 满足 其 特定 条 件 时 才 启 动 其 表现 (破坏 ) 模 块 。 只 有 这 样 它 才 可 达到 长 期 隐藏 、 偷 偷 扩散 
的 目的 。 


4. 破坏 性 (表现 性 ) 


任何 病毒 只 要 侵入 系统 ， 就 会 对 系统 及 应 用 程序 产生 程度 不 同 的 影响 。 轻 则 会 降低 计 
算 机 工作 效率 ， 占 用 系统 资源 ， 重 则 可 导致 系统 崩溃 。 根 据 病毒 的 这 一 特性 可 将 病毒 分 为 
良性 病毒 与 恶性 病毒 。 良 性 病毒 可 能 只 显示 些 画面 或 无 聊 的 语句 ， 或 者 根本 没有 任何 破坏 
动作 ， 但 会 占用 系统 资源 ， 这 类 病毒 表现 较为 温和 。 恶 性 病毒 则 有 明确 的 目的 ， 或 破坏 数 
据 、 删 除 文件 ， 或 加 密 磁盘 、 格 式 化 磁盘 ， 甚 至 造成 不 可 挽回 的 损失 。 表 现 和 破坏 是 病毒 
的 最 终 目的 。 


5. 不 可 预见 性 


从 对 病毒 的 检测 方面 来 看 ， 病 毒 还 有 不 可 预见 性 。 不 同 种 类 的 病毒 ， 其 代码 千差万别 ， 
但 有 些 操作 是 共有 的 (如 驻 留 内 存 、 更 改 中 断 等 )。 有 些 人 利用 病毒 的 这 种 共性 ， 制 作 了 声 
称 可 查 所 有 病毒 的 程序 。 这 种 程序 的 确 可 查 出 一 些 新 病毒 ， 但 由 于 目前 的 软件 种 类 极 多 ， 


且 某 些 正常 程序 也 使 用 了 类 似 病毒 的 操作 ， 甚 至 借鉴 了 某 些 病毒 技术 ， 因 此 使 用 这 种 方法 
对 病毒 进行 检测 ， 势 必 会 造成 较 多 的 误 报 情况 ， 而 且 病毒 的 制作 技术 也 在 不 断 地 提高 ， 病 
毒 对 反 病 毒 软件 永远 是 超前 的 。 

6. 触发 性 


病毒 因 某 个 事件 或 数值 的 出 现 ， 诱 使 病毒 实施 感染 或 进行 攻击 的 特性 称 为 可 触发 性 。 
病毒 既 要 隐蔽 又 要 维持 攻击 力 ， 必 须 具 有 可 触发 性 。 
病毒 的 触发 机 制 用 于 控制 感染 和 破坏 动作 的 频率 。 计算机 病毒 一 般 都 有 一 个 触发 条 件 ， 


| 它 可 以 按照 设计 者 的 要 求 在 某 个 点 上 激活 并 对 系统 发 起 攻击 。 


病毒 的 触发 条 件 有 以 下 几 种 。 

(1) 以 时 间作 为 触发 条 件 。 计 算 机 病毒 程序 读 取 系 统 内 部 时 钟 ， 当 满足 设计 的 时 间 时 
开始 发 作 。 

(2) 以 计数 器 作为 触发 条 件 。 计 算 机 病毒 程序 内 部 设 定 一 个 计数 单元 ， 当 满足 设计 者 
的 特定 值 时 就 发 作 。 

(3) 以 特定 字符 作为 触发 条 件 。 当 敲 入 某 些 特定 字符 时 即 发 作 。 

(4) 组 合 触 发 条 件 。 综 合 以 上 几 个 条 件 作 为 计算 机 病毒 的 触发 条 件 。 

病毒 中 有 关 触 发 机 制 的 编码 是 其 敏感 部 分 。 剖 析 病 毒 时 ， 如 果 清 楚 病 毒 的 触发 机 制 ， 
就 可 以 修改 此 部 分 代码 ， 使 病毒 失效 ， 也 可 以 产生 没有 潜伏 性 的 极为 外 露 的 病毒 样本 ， 供 
反 病 毒 研究 用 。 满 足 传染 触发 条 件 时 ， 病 毒 的 传染 模块 会 被 激活 ， 实 施 传染 操作 。 满 足 表 
现 触发 条 件 时 ， 病 毒 的 表现 模块 会 被 激活 ， 实 施 表现 或 破坏 操作 。 

7. 针对 性 

病毒 的 触发 有 一 定 的 环境 要 求 ， 并 不 一 定 对 任何 系统 都 能 感染 。 

8. 寄生 性 (依附 性 ) 


计算 机 病毒 程序 嵌入 到 宿主 程序 中 ， 依 赖 于 宿主 程序 的 执行 而 生存 ， 这 就 是 计算 机 病 
毒 的 寄生 性 。 病 毒 程序 在 侵入 到 宿主 程序 中 后 ， 一 般 会 对 宿主 程序 进行 一 定 的 修改 ， 宿 主 
程序 一 旦 执行 ， 病 毒 程序 就 会 被 激活 ， 从 而 可 以 进行 自我 复制 。 

通常 认为 ， 计 算 机 病毒 的 主要 特点 是 传染 性 、 隐 蔽 性 、 潜 伏 性 、 寄 生性 和 破坏 性 。 


5.1.3 ”计算 机 病毒 的 分 类 


按照 计算 机 病毒 的 特点 ， 对 计算 机 病毒 可 从 不 同 角度 进行 分 类 。 计 算 机 病毒 的 分 类 方 
法 有 许多 种 ， 因 此 ， 同 一 种 病毒 可 能 有 多 种 不 同 的 分 类 方法 。 

1. 基于 破坏 程度 分 类 

基于 破坏 程度 分 类 是 最 流行 、 最 科学 的 分 类 方法 之 一 ， 按 照 此 种 分 类 方法 ， 病 毒 可 以 
分 为 良性 病毒 和 恶性 病毒 。 

(1) 良性 病毒 是 指 其 中 不 含有 立即 对 计算 机 系统 产生 直接 破坏 作用 的 代码 。 这 类 病毒 
为 了 表现 其 存在 ， 只 是 不 停 地 进行 扩散 ， 从 一 台 计 算 机 传染 到 另 一 台 ， 虽 然 不 破坏 计算 机 
内 的 数据 ， 却 会 造成 计算 机 程序 的 工作 异常 。 
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良性 病毒 取得 系统 控制 权 后 ， 会 导致 整个 系统 运行 效率 降低 、 可 用 内 存 容 量 减 少 、 某 
些 应 用 程序 不 能 运行 ， 还 与 操作 系统 和 应 用 程序 争 抢 CPU 的 控制 权 ， 有 时 还 会 导致 整个 系 
统 死 锁 ， 给 正常 操作 带 来 麻烦 。 有 时 系统 内 还 会 出 现 几 种 病毒 交叉 感染 的 现象 ， 即 一 个 文 
件 不 停 地 反复 被 几 种 病毒 所 感染 。 常 见 的 良性 病毒 有 “小 球 ” 病 毒 、“ 台 湾 一 号 ”、“ 维 
也 纳 ” 和 “巴基斯坦 ”病毒 等 。 

(2) 恶性 病毒 在 其 代码 中 包含 有 破坏 计算 机 系统 的 操作 ， 在 其 传染 或 发 作 时 会 对 系统 
产生 直接 的 破坏 作用 。 亚 性 病毒 感染 后 一 般 没 有 异常 表现 ， 会 将 自己 隐藏 得 更 深 ， 但 是 一 
旦 发 作 ， 就 会 破坏 计算 机 数据 、 删 除 文件 ， 有 的 甚至 会 对 硬盘 进行 格式 化 ， 造 成 整个 计算 
机 系统 瘫痪 ， 等 人 们 察觉 时 ， 己 经 对 计算 机 数据 或 硬件 造成 了 破坏 ， 损 失 将 难以 挽回 。 

这 种 病毒 有 很 多 ， 如 “黑色 星期 五 ”、“CIH 系统 毁灭 者 ”等 。 恶 性 病毒 是 很 危险 的 ， 


2. 基于 传染 方式 分 类 


按照 传染 方式 不 同 ， 病 毒 可 分 为 引导 型 病毒 、 文 件 型 病毒 和 混合 型 病毒 3 种 。 

(1) 引导 型 病毒 是 指 开 机 启动 时 , 病毒 在 DOS 的 引导 过 程 中 被 载 入 内 存 , 它 先 于 操作 
系统 运行 ， 所 依靠 的 环境 是 BIOS 中 断 服 务 程序 。 引 导 区 是 磁盘 的 一 部 分 ， 它 在 开机 启动 
时 控制 计算 机 系统 。 引 导 型 病毒 正 是 利用 了 操作 系统 的 引导 区 位 置 固定 ， 且 控制 权 的 转交 
方式 以 物理 地 址 为 依据 ， 而 不 是 以 引导 区 的 内 容 为 依据 这 一 特点 ， 将 真正 的 引导 区 内 容 进 
行 转移 或 替换 ， 待 病毒 程序 被 执行 后 ， 再 将 控制 权 交 给 真正 的 引导 区 内 容 ， 使 得 这 个 带 病 
毒 的 系统 看 似 正 常 运转 ， 而 病毒 已 隐藏 在 系统 中 等 待 时 机 传染 和 发 作 。 

引导 型 病毒 按 其 寄生 对 象 的 不 同 ， 又 可 分 为 主 引 导 区 病毒 和 引导 区 病毒 。 主 引导 区 病 
毒 又 称 分 区 病毒 ， 此 病毒 寄生 在 硬盘 分 区 主 引 导 程 序 所 占据 的 硬盘 0 磁头 0 柱 面 第 1 个 扇 
区 中 ， 如 Stoned 病毒 。 引 导 区 病毒 是 将 病毒 寄生 在 硬盘 逻辑 0 扇 区 或 软盘 逻辑 0 扇 区 ， 典 
型 的 如 小 球 病毒 。 它 们 的 原理 基本 相同 ， 在 这 里 只 介绍 引导 区 病毒 。 

引导 型 病毒 通常 分 为 两 部 分 ， 一 部 分 放 在 磁盘 引导 区 中 ; 另 一 部 分 和 原 引 导 记 录放 在 
磁盘 上 连续 几 个 簇 中 , 这 些 簇 在 文件 分 配 表 (FAT) 中 做 上 坏 簇 的 标记 , 使 其 不 被 覆盖 而 永久 
地 驻 留 在 磁盘 中 。 开 机 启动 时 ， 磁 盘 引 导 区 的 程序 会 读 入 内 存 中 ， 引 导 程 序 得 到 控制 权 后 
会 加 载 两 个 隐 含 文件 ， 即 ibmbio.com 和 command.com 以 完成 启动 。 如 果 是 染 上 病毒 的 盘 ， 
读 入 内 存 的 则 是 病毒 程序 的 第 一 部 分 ， 它 得 到 控制 权 后 修改 内 存 可 用 空间 的 大 小 ， 在 内 存 
高 端 开辟 出 一 块 区 域 ， 并 把 第 一 部 分 移 至 该 区 域 ， 接 着 读 入 放 在 磁盘 坏 簇 中 的 第 二 部 分 ， 
并 和 第 一 部 分 拼 起 来 , 使 病毒 程序 全 部 驻 留 在 内 存 的 高 端 ， 以 防 在 运行 其 他 程序 时 被 覆盖 ; 
然后 修改 INT13H 的 中 断 向 量 或 其 他 中 断 向 量 ， 使 其 指向 病毒 程序 ， 这 时 才 把 原 引导 程序 
读 入 内 存 中 ， 并 把 控制 权 交 由 它 来 完成 系统 的 启动 。 由 于 修改 了 中 断 向 量 ， 病 毒 程序 在 计 
算 机 的 运行 中 经 常 能 得 到 CPU 的 控制 权 , 这 样 在 读 写 盘 或 产生 其 他 中 断 时 , 病毒 就 可 以 发 
作 进 行 破坏 了 。 

(2) 文件 型 病毒 依靠 可 执行 文件 ， 即 文件 扩展 名 为 .com 和 .exe 等 程序 ， 它 们 存放 在 可 
执行 文件 的 头 部 或 尾部 。 目 前 绝 大 多 数 的 病毒 都 属于 文件 型 病毒 。 

文件 型 病毒 将 其 代码 加 载 到 运行 程序 的 文件 中 ， 只 要 运行 该 程序 ， 病 毒 就 会 被 激活 ， 
引入 内 存 ， 并 占领 CPU 得 到 控制 权 。 病 毒 会 在 磁盘 中 寻找 未 被 感染 的 可 执行 文件 ， 将 自身 


放 入 其 首部 或 尾部 ， 并 修改 文件 的 长 度 使 病毒 程序 合法 化 ， 它 还 能 修改 该 程序 ， 使 该 文件 
执行 前 首先 挂靠 病毒 程序 ， 在 病毒 程序 的 出 口 处 再 跳 向 源 程序 开始 处 ， 这 样 就 使 该 执行 文 
件 成 为 新 的 病毒 源 。 已 感染 病毒 的 文件 执行 速度 会 减缓 ， 甚 至 完全 无 法 执行 ， 也 有 些 文件 
遭 感染 后 ， 一 执行 就 会 被 删除 。 

文件 型 病毒 依附 在 不 可 执行 的 文件 中 是 没有 意义 的 ， 只 有 运行 可 执行 程序 时 病毒 才能 
调 入 内 存 运行 。 

文件 型 病毒 按照 传染 方式 的 不 同 ， 又 可 分 为 非常 驻 型 、 常 驻 型 和 隐形 文件 型 3 种 。 

中 非常 驻 型 病毒 : 非常 驻 型 病毒 将 自己 寄生 在 .com，.exe 或 是 .sys 的 文件 中 ， 当 执行 
感染 病毒 的 程序 时 ， 该 病毒 就 会 传染 给 其 他 文件 。 

@ 常 驻 型 病毒 : 常 驻 型 病毒 躲藏 在 内 存 中 ， 会 对 计算 机 造成 更 大 的 伤害 ， 一 旦 它 进 
入 内 存 中 ， 只 要 文件 被 执行 ， 它 就 会 迅速 感染 其 他 文件 。 

@@ 隐形 文件 型 病毒 : 把 自己 植 入 操作 系统 里 ， 当 程序 向 操作 系统 要 求 中 断 服务 时 ， 
它 就 会 感染 这 个 程序 ， 而 且 没有 任何 表现 。 

引导 型 病毒 破坏 性 较 大 ， 但 数量 较 少 ， 直 到 20 世纪 90 年 代 中 期 ， 文 件 型 病毒 还 是 最 
流行 的 病毒 。 随 着 微软 公司 Word 字 处 理 软 件 的 广泛 使 用 以 及 Intemet 的 推广 普及 ， 又 出 现 
一 种 新 病毒 ， 这 就 是 宏 病毒 。 宏 病毒 可 算 作文 件 型 病毒 的 一 种 。 宏 病毒 已 占 目前 全 部 病毒 
数量 的 80% 以 上 ， 它 是 发 展 最 快 的 病毒 。 宏 病毒 还 可 衍生 出 各 种 变种 病毒 。 

(3) 混合 型 病毒 通过 技术 手段 把 引导 型 病毒 和 文件 型 病毒 组 合成 为 一 体 ， 使 之 具有 引 
导 型 病毒 和 文件 型 病毒 两 种 特征 ， 以 两 者 相互 促进 的 方式 进行 传染 。 这 种 病毒 既 可 以 传染 
引导 区 又 可 以 传染 可 执行 文件 ， 增 加 了 病毒 的 传染 性 及 存活 率 。 不 管 以 哪 种 方式 传染 ， 只 
要 进入 计算 机 就 会 经 开机 或 执行 程序 而 感染 其 他 的 磁盘 或 文件 ， 从 而 使 其 传播 范围 更 广 ， 
更 难以 被 清除 干净 。 如 果 只 将 病毒 从 被 感染 的 文件 中 清除 掉 ， 当 系统 重新 启动 时 ， 病 毒 又 
将 从 硬盘 引导 记录 进入 内 存 , 文件 被 重新 感染 ; 如 果 只 将 隐藏 在 引导 记录 里 的 病毒 消除 掉 ， 
当 运 行文 件 时 ， 引 导 记 录 又 会 被 重新 感染 。 


3. 基于 算法 分 类 


按照 病毒 特有 的 算法 ， 可 以 划分 为 伴随 型 病毒 、 蠕 虫 型 病毒 和 寄生 型 病毒 。 

(1) 伴随 型 病毒 。 它 并 不 改变 文件 本 身 ， 而 是 根据 算法 产生 .exe 文件 的 伴随 体 ， 与 文 
件 具 有 同样 的 名 字 和 不 同 的 扩展 名 , 例如 cer.exe 的 伴随 体 是 ccrcom。 当 DOS 加 载 文件 时 ， 
伴随 体 优先 被 执行 ， 再 由 伴随 体 加 载 执 行 原来 的 .exe 文件 。 

(2) 蠕虫 型 病毒 。 通 过 计算 机 网 络 进行 传播 ， 它 不 改变 文件 和 资料 信息 ， 而 是 根据 计 
算 机 的 网 络 地 址 ， 将 病毒 通过 网 络 发 送 ， 蠕 虫 病毒 除了 占用 内 存 外 一 般 不 占用 其 他 资源 。 

(3) 寄生 型 病毒 。 除 伴随 型 病毒 和 蠕虫 型 病毒 之 外 的 其 他 病毒 均 可 称 为 寄生 型 病毒 。 
它们 依附 在 系统 的 引导 区 或 文件 中 ， 通 过 系统 的 功能 进行 传播 ， 按 算法 又 可 分 为 练习 型 病 
毒 、 诡 秘 型 病毒 和 变型 病毒 。 

Q@ 练习 型 病毒 自身 包含 错误 ， 不 能 很 好 地 传播 ， 如 一 些 处 在 调试 阶段 的 病毒 。 

@ 诡秘 型 病毒 一 般 不 直接 修改 DOS 中 断 和 扇 区 数据 , 而 是 通过 设备 技术 和 文件 缓冲 
区 等 进行 DOS 内 部 修改 ， 由 于 该 病毒 使 用 比较 高 级 的 技术 ， 所 以 不 易 清除 。 

@ ”变型 病毒 又 称 幽 灵 病 毒 ， 这 种 病毒 使 用 较 复 杂 的 算法 ， 使 自己 每 传播 一 份 都 具有 
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不 同 的 内 容 和 长 度 。 它 们 通常 由 一 段 混 有 无 关 指 令 的 解码 算法 和 变化 过 的 病毒 体 组 成 。 
4. 基于 链接 方式 分 类 


按照 病毒 的 链接 方式 ， 可 以 分 为 源码 型 病毒 、 入 侵 型 病毒 、 外 壳 型 病毒 和 操作 系统 型 
病毒 。 

(1) 源码 型 病毒 攻击 的 目标 是 源 程序 。 在 源 程序 编译 之 前 ， 将 病毒 代码 插入 源 程序 ， 
编译 后 ， 病 毒 变 成 合法 程序 的 一 部 分 ， 成 为 以 合法 身份 存在 的 非法 程序 。 

源码 型 病毒 比较 少见 ， 在 编写 时 要 求 源码 病毒 所 用 语言 必须 与 被 攻击 源码 程序 的 语言 
相同 。 

(2) 入 侵 型 病毒 可 用 自身 代替 宿主 程序 中 的 部 分 模块 或 堆栈 区 ， 因 此 这 类 病毒 只 攻击 
某 些 特 定 程序 ， 针 对 性 强 。 这 种 病毒 的 编写 也 很 困难 ， 因 为 病毒 遇见 的 宿主 程序 千变万化 ， 
病毒 在 不 了 解 其 内 部 逻辑 的 情况 下 ， 要 将 宿主 程序 拦腰 截断 ， 插 入 病毒 代码 ， 而 且 还 要 保 
证 病毒 程序 能 正常 运行 。 该 病毒 一 旦 侵入 程序 体 后 也 较 难 消除 。 如 果 同 时 采用 多 态 性 病毒 
技术 、 超 级 病毒 技术 和 隐蔽 性 病毒 技术 ， 将 给 当前 的 反 病毒 技术 带 来 严峻 的 挑战 。 

(3) 外 壳 型 病毒 将 其 自身 附 在 宿主 程序 的 头 部 或 尾部 ， 相 当 于 给 宿主 程序 增加 了 一 个 
外 壳 ， 但 对 宿主 程序 不 作 修改 。 这 种 病毒 最 为 常见 ， 易 于 编写 ， 也 易于 被 发 现 ， 通 过 测试 
文件 的 大 小 即 可 发 现 。 大 部 分 的 文件 型 病毒 都 属于 这 一 类 。 

(4) 操作 系统 型 病毒 用 它 自己 的 程序 加 入 或 取代 部 分 操作 系统 进行 工作 ， 具 有 很 强 的 
破坏 力 ， 可 以 导致 整个 系统 瘫痪 。 圆 点 病毒 和 大 麻 病毒 就 是 典型 的 操作 系统 型 病毒 。 这 种 
病毒 在 运行 时 ， 用 自己 的 逻辑 部 分 取代 操作 系统 的 合法 程序 模块 ， 对 操作 系统 进行 破坏 。 


5. 基于 传播 的 媒介 分 类 


按照 病毒 传播 的 媒介 ， 可 以 分 为 网 络 病毒 和 单机 型 病毒 。 

(1) 网 络 病毒 通过 计算 机 网 络 传播 感染 网 络 中 的 可 执行 文件 。 这 种 病毒 的 传染 能 力 强 ， 
破坏 力 大 。 

(2) 单机 型 病毒 的 载体 是 磁盘 ， 常 见 的 是 病毒 从 软盘 传 入 硬盘 ， 感 染 系统 ， 然 后 再 传 
染 其 他 软盘 ， 再 由 软盘 传染 其 他 系统 。 


6. 基于 攻击 的 系统 分 类 


按照 计算 机 病毒 攻击 的 系统 ， 可 以 分 为 攻击 DOS 系统 的 病毒 、 攻 击 Windows 系统 的 
病毒 、 攻 击 UNIX 系统 的 病毒 和 攻击 OS/2 系统 的 病毒 。 

(1) 攻击 DOS 系统 的 病毒 。 这 类 病毒 出 现 最 早 、 数 量 最 大 ， 变 种 也 最 多 ， 以 前 计算 机 
病毒 基本 上 都 是 这 类 病毒 。 

(2) 攻击 Windows 系统 的 病毒 。Windows 因 其 图 形 用 户 界面 和 多 任务 操作 系统 而 深 受 
用 户 的 欢迎 ，Windows 现 已 逐渐 取代 DOS， 从 而 成 为 病毒 攻击 的 主要 对 象 。 我 国 发 现 的 首 
例 破 坏 计算 机 硬件 的 CIH 病毒 就 是 一 个 Windows 95/98 病毒 。 

(3) 攻击 UNIX 系统 的 病毒 。UNIX 系统 应 用 非常 广泛 ， 并 且 许 多 大 型 的 操作 系统 均 
采用 UNIX 作为 其 主要 的 操作 系统 ， 所 以 UNIX 病毒 的 出 现 ， 对 信息 处 理 也 是 一 个 严重 的 
威胁 。 

(4) 攻击 OS/2 系统 的 病毒 。 世 界 上 已 经 发 现 第 一 个 攻击 OS/2 系统 的 病毒 。 


7. 基于 激活 的 时 间 分 类 


按照 病毒 激活 的 时 间 ， 可 分 为 定时 病毒 和 随机 病毒 。 
定时 病毒 仅 在 某 一 特定 时 间 才 发 作 ， 而 随机 病毒 一 般 不 是 由 时 钟 来 激活 的 。 
上 述 分 类 是 相对 的 ， 同 一 种 病毒 按 不 同 的 分 类 方法 可 属于 不 同类 型 。 


5.1.4 计算 机 网 络 病毒 的 概念 
1. 计算 机 网 络 病毒 的 定义 


传统 的 网 络 病毒 是 指 利用 网 络 进行 传播 的 一 类 病毒 的 总 称 。 网 络 成 了 传播 病毒 的 通道 ， 
使 病毒 从 一 台 计 算 机 传染 到 另 一 台 计 算 机 ， 然 后 传 遍 网 络 中 的 全 部 计算 机 ， 一 般 如 果 发 现 
网 络 中 有 一 个 站 点 感染 病毒 , 那么 其 他 站 点 也 会 有 类 似 病毒 。 一 个 网 络 系统 只 要 有 入 口 点 ， 
那么 就 很 有 可 能 感染 上 网 络 病毒 ， 使 病毒 在 网 络 中 传播 扩散 ， 甚 至 会 破坏 整个 系统 。 

严格 地 说 ， 网 络 病毒 是 以 网 络 为 平台 ， 能 在 网 络 中 传播 、 复 制 及 破坏 的 计算 机 病毒 ， 
像 网 络 蠕虫 病毒 等 一 些 威胁 到 计算 机 及 计算 机 网 络 正常 运行 和 安全 的 病毒 才 可 以 算 作 计算 
机 网 络 病毒 。“ 网 络 病毒 ”与 单机 病毒 有 较 大 区 别 。 计 算 机 网 络 病毒 专门 使 用 网 络 协议 (如 
TCP/IP、FTP、UDP、HTTP、SMTP 和 POP3 等 ) 来 进行 传播 ， 它 们 通常 不 修改 系统 文件 或 
硬盘 的 引导 区 ， 而 是 感染 客户 计算 机 的 内 存 ， 强 制 这 些 计算 机 向 网 络 发 送 大 量 信 息 ， 因 而 
导致 网 络 速度 下 降 甚 至 完全 瘫痪 。 由 于 网 络 病毒 保留 在 内 存 中 ， 因 此 传统 的 基于 磁盘 的 文 
件 IO 扫描 方法 通常 无 法 检测 到 它们 。 


2. 计算 机 网 络 病毒 的 传播 方式 


Internet 技术 的 进步 同样 给 许多 恶毒 的 网 络 攻 击 者 提供 了 一 条 便捷 的 攻击 路 径 , 他 们 利 
用 网 络 来 传播 病毒 ， 其 破坏 性 和 隐蔽 性 更 强 。 

一 般 来 说 ， 计 算 机 网 络 的 基本 构成 包括 网 络 服务 器 和 网 络 节点 (包括 有 盘 工作 站 、 无 盘 
工作 站 和 远程 工作 站 )。 病 毒 在 网 络 环境 下 的 传播 ， 实 际 上 是 按照 “工作 站 一 服务 器 一 工作 
站 ”的 方式 进行 循环 传播 。 计 算 机 病毒 一 般 先 通过 有 盘 工 作 站 的 软盘 或 硬盘 进入 网 络 ， 然 
后 开始 在 网 络 中 传播 。 

具体 地 说 ， 其 传播 方式 有 以 下 几 种 。 

(1) 病毒 直接 从 有 盘 工 作 站 复制 到 服务 器 中 。 

(2) 病毒 先 感染 工作 站 ， 在 工作 站 内 存 驻 留 ， 等 运行 网 络 盘 内 程序 时 再 感染 服务 器 。 

(3) 病毒 先 感染 工作 站 ， 在 工作 站 内 存 驻 留 ， 当 病毒 运行 时 通过 映像 路 径 感 染 到 服务 
器 中 。 

(4) 如 果 远 程 工作 站 被 病毒 侵入 ， 病 毒 也 可 以 通过 通信 中 数据 的 交换 进入 网 络 服务 
器 中 。 

计算 机 网 络 病毒 的 传播 和 攻击 主要 通过 两 个 途径 ， 即 用 户 邮 件 和 系统 漏洞 。 所 以 ， 一 
方面 ， 网 络 用 户 要 加 强 自身 的 网 络 意识 ， 对 陌生 的 电子 邮件 和 网 站 提高 警惕 ， 另 一 方面 ， 
操作 系统 要 及 时 地 进行 系统 升级 ， 以 加 强 对 病毒 的 防范 能 力 。 

随 着 Internet 的 发 展 ,病毒 的 传播 速度 明显 加 快 ,传播 范围 也 开始 从 区 域 化 走向 全 球 化 。 
新 一 代 病 毒 主要 通过 电子 邮件 、 网 页 浏览 、 网 络 服务 等 网 络 途径 传播 ， 传 播 速度 更 快 、 发 
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生 频 率 更 高 ， 防 御 更 困难 ， 往 往 在 找到 解决 办 法 前 ， 病 毒 已 经 造成 严重 危害 。 


5.1.5 计算 机 网 络 病毒 的 特点 


从 计算 机 网 络 病毒 的 传播 方式 可 以 看 出 ， 计 算 机 网 络 病毒 除 具 有 一 般 病毒 的 特点 外 ， 
还 有 以 下 新 的 特点 。 


1. 传染 方式 多 


病毒 入 侵 网 络 系统 的 主要 途径 是 通过 工作 站 传播 到 服务 器 硬盘 ， 再 由 服务 器 的 共享 目 
录 传 播 到 其 他 工作 站 。 但 病毒 传染 方式 比较 复杂 ， 通 常 有 以 下 几 种 。 

(1) 引导 型 病毒 对 工作 站 或 服务 器 的 硬盘 分 区 表 或 DOS 引导 区 进行 传染 。 

(2) 通过 在 有 盘 工 作 站 上 执行 带 毒 程序 , 而 传染 服务 器 映射 盘 上 的 文件 。 由 于 login.exe 
文件 是 用 户 入 网 登录 时 第 一 个 被 调用 的 可 执行 文件 ， 因 此 该 文件 最 易 被 病毒 感染 ， 而 
login.exe 文件 一 旦 被 病毒 感染 ， 则 每 个 工作 站 在 使 用 其 登录 时 便 会 被 感染 ， 并 进一步 感染 
服务 器 共享 目录 。 

(3) 服务 器 上 的 程序 若 被 病毒 感染 ， 则 所 有 使 用 该 带 毒 程序 的 工作 站 都 将 被 感染 。 混 
合 型 病毒 有 可 能 感染 工作 站 上 的 硬盘 分 区 表 或 DOS 引导 区 。 

(4) 病毒 通过 工作 站 的 复制 操作 进入 服务 器 ， 进 而 在 网 上 传播 。 

(5) 利用 多 任务 可 加 载 模块 进行 传染 。 

(6) 若 Novell 服务 器 的 DOS 分 区 程序 server.exe 已 被 病毒 感染 ， 则 文件 服务 器 系统 有 
可 能 被 感染 。 


2. 传播 速度 快 


单机 病毒 只 能 通过 磁盘 从 一 台 计 算 机 传染 到 另 一 台 计 算 机 ， 而 网 络 病毒 则 可 以 通过 网 
络 通信 机 制 ， 借 助 高 速 电缆 迅速 扩散 。 

由 于 病毒 在 网 络 中 传播 速度 非常 快 ， 故 其 扩散 范围 很 大 。 根 据 测定 ，PC 网 络 在 正常 使 
用 情况 下 , 只 要 有 一 台 工 作 站 有 病毒 , 就 可 在 几 十 分 钟 内 将 网 上 的 数 百 台 计算 机 全 部 感染 。 


3. 清除 难度 大 

再 顽固 的 单机 病毒 也 可 通过 删除 带 毒 文件 、 格 式 化 硬盘 等 措施 将 病毒 清除 ， 而 网 络 中 
只 要 有 一 台 工 作 站 中 还 有 病毒 未 杀 干 净 ， 就 可 使 整个 网 络 全 部 重新 被 病毒 感染 ， 甚 至 刚刚 
完成 杀毒 工作 的 一 台 工 作 站 也 有 可 能 被 网 上 另 一 台 工 作 站 的 带 毒 程序 所 传染 。 因 此 ， 仅 对 
工作 站 进行 杀毒 处 理 并 不 能 彻底 解决 网 络 病毒 问题 。 

4. 扩散 面 广 

由 于 病毒 在 网 络 中 扩散 非常 快 , 扩散 范围 很 大 , 不 但 能 迅速 传染 局 域 网 内 所 有 计算 机 ， 
还 能 通过 远程 工作 站 将 病毒 在 一 瞬间 传播 到 千里 之 外 。 

5. 破坏 性 大 

网 络 上 的 病毒 将 直接 影响 网 络 的 工作 ， 轻 则 降低 速度 ， 影 响 工作 效率 ; 重 则 造成 网 络 
系统 瘫痪 ， 破 坏 服务 器 系统 资源 ， 使 众多 工作 毁 于 一 旦 。 


5.1.6 计算 机 网 络 病毒 的 分 类 


计算 机 网 络 病毒 的 发 展 是 相当 迅速 的 ， 目 前 主要 的 网 络 病毒 有 以 下 几 种 。 
1. 网 络 木 马 病毒 


传统 的 木马 病毒 (Trojan) 是 指 一 些 有 正常 程序 外 表 的 病毒 程序 ， 如 一 些 密码 窃取 病毒 ， 
它 会 伪装 成 系统 登录 框 ， 当 在 登录 框 中 输入 用 户 名 与 密码 时 ， 这 个 伪装 登录 框 的 木马 便 会 
将 用 户口 令 通过 网 络 泄露 出 去 。 


2. 蠕虫 病毒 


蠕虫 病毒 (Worm) 是 指 利用 网 络 缺陷 进行 繁殖 的 病毒 程序 ， 如 “英里 斯 ”病毒 就 是 典型 
的 蠕虫 病毒 。 它 利用 网 络 的 缺陷 在 网 络 中 大 量 繁殖 ， 导 致 几 千 台 服务 器 无 法 正常 提供 服务 。 
如 今 的 蠕虫 病毒 除了 利用 网 络 缺陷 外 ， 更 多 地 利用 了 一 些 新 的 技术 ， 例 如 ，“ 求 职 信 ” 病 
毒 是 利用 邮件 系统 这 一 大 众 化 的 平台 ， 将 自己 传 遍 千家 万 户 ; “密码 ”病毒 是 利用 人 们 的 
好 奇 心理 ， 诱 使 用 户主 动 运行 病 毒 ，“ 尼 姆 达 ” 病 毒 则 是 综合 了 系统 病毒 的 方法 ， 利 用 感 
染 文 件 来 加 速 自 己 的 传播 。 目 前 常 说 的 网 络 病毒 就 是 指 蠕虫 病毒 。 

3. 捆绑 器 病毒 


捆绑 器 病毒 (BindeD 是 一 个 很 新 的 概念 ,人 们 编写 这 种 程序 的 最 初 目 的 是 希望 通过 一 次 
点 击 可 以 同时 运行 多 个 程序 ， 然 而 这 一 工具 却 成 了 病毒 传播 的 新 帮凶 。 比 如 ， 用 户 可 以 将 
一 个 小 游戏 与 病毒 通过 捆绑 器 程序 捆绑 ， 当 用 户 运 行 游戏 时 ， 病 毒 也 会 同时 悄悄 地 运行 ， 
给 用 户 的 计算 机 造成 危害 。 此 外 ， 目 前 一 些 图 片 文件 也 可 以 被 捆绑 病毒 ， 其 隐蔽 性 更 高 。 

4. 网 页 病毒 


网 页 病毒 是 利用 网 页 中 的 恶意 代码 来 进行 破坏 的 病毒 。 它 存在 于 网 页 中 ， 其 实 就 是 利 
用 一 些 脚本 语言 编写 的 一 些 恶意 代码 。 它 可 以 对 系统 的 一 些 资源 进行 破坏 ， 轻 则 修改 用 户 
的 注册 表 ， 使 用 户 的 首页 、 浏 览 器 标题 改变 ， 重 则 可 以 关闭 系统 的 很 多 功能 ， 使 用 户 无 法 
正常 使 用 计算 机 ， 更 有 甚 者 则 将 用 户 的 磁盘 进行 格式 化 。 这 种 网 页 病毒 容易 编写 和 修改 ， 
使 用 户 防 不 胜 防 ， 最 好 的 方法 是 选用 有 网 页 监控 功能 的 杀毒 软件 以 防 万 一 。 


5. 手机 病毒 


简单 地 说 ， 手 机 病毒 就 是 以 手机 为 感染 对 象 ， 以 手机 网 络 和 计算 机 网 络 为 平台 ， 通 过 
病毒 短信 等 形式 对 手机 进行 攻击 ， 造 成 手机 异常 的 一 种 新 型 病毒 。 

随 着 智能 手机 的 出 现 , 手机 本 身 通过 网 络 可 以 完成 很 多 原本 由 计算 机 才能 完成 的 工作 ， 
如 信息 处 理 、 收 发 E-mail 及 网 页 浏览 等 。 为 完成 这 些 工 作 ， 手 机 除了 硬件 设备 以 外 ， 还 需 
要 上 层 软 件 的 支持 。 这些 上 层 软 件 一 般 是 用 Java、C++ 等 语言 开发 的 , 是 嵌入 式 操 作 系统 ( 即 
把 操作 系统 固化 在 芯片 中 )， 这 就 相当 于 一 部 小 型 计算 机 ， 因 此 ， 肯 定 会 有 受到 恶意 代码 攻 
击 的 可 能 。 而 目前 的 短信 并 不 只 是 简单 的 文本 内 容 ， 也 包括 手机 铃声 、 图 片 等 信息 ， 都 需 
要 手机 操作 系统 “翻译 ”以 后 再 使 用 。 目 前 的 恶意 短信 就 是 利用 了 这 个 特点 ， 编 制 出 针对 
某 种 手机 操作 系统 漏洞 的 短信 内 容 ， 攻 击 手 机 。 如 果 编 制 者 的 水 平 足够 高 ， 对 手机 的 底层 


第 5 章 计算 机 病 才 防治 了 术 @@ 


操作 系统 足够 熟悉 ， 他 们 甚至 能 编制 出 毁 掉 手机 芯片 的 病毒 ， 使 手机 彻底 报废 。 因 此 ， 对 
手机 病毒 的 危害 性 不 能 低估 。 

手机 病毒 其 实 也 和 计算 机 病毒 一 样 ， 可 以 通过 计算 机 执行 从 而 向 手机 乱 发 短信 息 。 严 
格 地 讲 ， 手 机 病毒 应 该 是 一 种 计算 机 病毒 ， 这 种 病毒 只 能 在 计算 机 网 络 中 进行 传播 而 不 能 
通过 手机 进行 传播 ， 因 此 手机 病毒 其 实 是 计算 机 病毒 程序 启动 了 电信 公司 的 一 项 服务 ， 如 
发 送 电 子 邮 件 到 手机 ， 而 且 它 发 给 手机 的 是 文档 ， 根 本 无 破坏 力 可 言 。 当 然 ， 有 的 手机 病 
毒 的 破坏 力 还 是 比较 大 的 ， 一 旦 发 作 可 能 比 个 人 计算 机 病毒 更 厉害 ， 其 传播 速度 甚至 会 
更 快 。 

黑客 如 果 对 手机 进行 攻击 , 通常 有 3 种 表现 方式 : 一 是 攻击 WAP 服务 器 使 WAP 手机 
无 法 接收 正常 信息 ， 二 是 攻击 、 控 制 “ 网 关 ”， 向 手机 发 送 垃圾 信息 ， 三 是 直接 攻击 手机 
本 身 ， 使 手机 无 法 提供 服务 ， 这 种 破坏 方式 难度 相对 较 大 ， 目 前 的 技术 水 平 还 很 难 达到 。 
为 防范 手机 病毒 ， 应 该 尽量 少 从 网 上 下 载 信息 ， 平 时 注意 短信 息 中 可 能 存在 的 病毒 ， 也 可 
以 对 手机 进行 查 杀 病毒 。 

目前 应 对 手机 病毒 的 主要 技术 措施 有 两 种 : 一 是 通过 无 线 网 站 对 手机 进行 杀毒 ， 二 是 
通过 手机 的 IC 接 入 口 或 红外 传输 口 进行 杀毒 。 

在 新 型 网 络 环境 下 ， 滋 生 了 许多 新 概念 病毒 ， 新 时 代 下 的 计算 机 病毒 越 来 越 “ 智 能 ”。 
针对 这 种 状况 ， 除 了 需要 反 病 毒 技 术 的 不 断 提高 外 ， 还 需要 计算 机 用 户 提高 防范 病毒 的 意 
识 ， 只 有 大 家 共同 努力 ， 才 可 能 有 效 地 遏制 病毒 的 破坏 。 


5.1.7 计算 机 网 络 病毒 的 危害 


在 现 阶 段 ， 由 于 计算 机 网 络 系统 的 各 个 组 成 部 分 、 接 口 以 及 各 连接 层次 的 相互 转换 环 
节 都 不 同 程度 地 存在 着 某 些 漏洞 和 薄弱 环节 ， 而 网 络 软件 方面 的 保护 机 制 也 不 完善 ， 使 得 
病毒 通过 感染 网 络 服务 器 ， 进 而 在 网 络 上 快速 蔓延 ， 并 影响 到 各 网 络 用 户 的 数据 安全 以 及 
计算 机 的 正常 运行 。 一 些 良 性 病毒 不 直接 破坏 正常 代码 ， 只 是 为 了 表示 它 的 存在 ， 可 能 会 
干扰 屏幕 的 显示 ， 或 使 计算 机 的 运行 速度 减 慢 。 一 些 恶性 病毒 会 明确 地 破坏 计算 机 的 系统 
资源 和 用 户 信息 ， 造 成 无 法 弥补 的 损失 。 所 以 计算 机 网 络 一 旦 染 上 病毒 ， 其 影响 要 远 比 单 
机 染 毒 更 大 ， 破 坏 性 也 更 大 。 

计算 机 网 络 病毒 的 具体 危害 主要 表现 在 以 下 几 个 方面 。 

(1) 病毒 发 作对 计算 机 数据 信息 的 直接 破坏 。 大 部 分 病毒 在 发 作 时 直接 破坏 计算 机 的 
重要 信息 数据 ， 所 利用 的 手段 有 格式 化 磁盘 、 改 写 文件 分 配 表 和 目录 区 、 删 除 重要 文件 或 
者 用 无 意义 的 “垃圾 ”数据 改写 文件 以 及 破坏 CMOS 设置 等 。 

(2) 占用 磁盘 空间 和 对 信息 的 破坏 。 寄 生 在 磁盘 上 的 病毒 总 要 非法 占用 一 部 分 磁盘 空 
间 。 引 导 型 病毒 是 由 病毒 本 身 占据 磁盘 引导 扇 区 ， 而 把 原来 的 引导 区 转移 到 其 他 扇 区 ， 被 
覆盖 的 扇 区 数据 永久 性 丢失 ， 无 法 恢复 。 文 件 型 病毒 利用 一 些 DOS 功能 进行 传染 ， 这 些 
DOS 功能 可 以 检测 出 磁盘 的 未 用 空间 ， 把 病毒 的 传染 部 分 写 到 磁盘 的 未 用 空间 去 ， 所 以 一 
般 不 破坏 磁盘 上 的 原 有 数据 ， 只 是 非法 侵占 了 磁盘 空间 。 一 些 文件 型 病毒 传染 速度 很 快 ， 
在 短 时 间 内 感染 大 量 文件 ， 每 个 文件 都 不 同 程度 地 加 长 了 ， 造 成 磁盘 空间 的 严重 浪费 。 

(3) 抢占 系统 资源 。 除 极 少数 病毒 外 ， 大 多 数 病毒 在 活动 状态 下 都 是 常 驻 内 存 的 ， 这 
就 必然 会 抢占 一 部 分 系统 资源 。 病 毒 所 占用 的 内 存 长 度 大 致 与 病毒 本 身长 度 相当 。 病 毒 抢 
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占 内 存 ， 导 致 内 存 减 少 ， 会 使 一 部 分 较 大 的 软件 不 能 运行 。 此 外 ， 病 毒 还 抢占 中 断 ， 计 算 
机 操作 系统 的 很 多 功能 是 通过 中 断 调 用 技术 来 实现 的 ， 病 毒 为 了 传染 发 作 ， 总 是 修改 一 些 
有 关 的 中 断 地 址 ， 从 而 干扰 系统 的 正常 运行 。 网 络 病毒 会 占用 大 量 的 网 络 资源 ， 使 网 络 通 
信 变 得 极为 缓慢 ， 甚 至 无 法 使 用 。 

(4) 影响 计算 机 运行 速度 。 病 毒 进驻 内 存 后 不 但 干扰 系统 运行 ， 还 影响 计算 机 运行 速 
度 ， 主 要 表现 在 ， 病 毒 为 了 判断 传染 发 作 条 件 ， 总 要 对 计算 机 的 工作 状态 进行 监视 ， 这 对 
于 计算 机 的 正常 运行 既 多 余 又 有 害 。 有 些 病毒 为 了 保护 自己 ， 不 但 对 磁盘 上 的 静态 病毒 加 
密 ， 而 且 进驻 内 存 后 的 动态 病毒 也 处 在 加 密 状态 ，CPU 每 次 寻 址 到 病毒 处 都 要 运行 一 段 解 


| 密 程 序 把 加 密 的 病毒 解密 成 合法 的 CPU 指令 再 执行 ; 而 病毒 运行 结束 时 再 用 一 段 程序 对 病 


毒 重 新 加 密 ， 这 样 CPU 要 额外 执行 数 干 条 甚至 上 万 条 指令 。 另 外 ,病毒 在 进行 传染 时 同样 
要 插入 非法 的 额外 操作 ， 特 别 是 传染 软盘 时 不 但 使 计算 机 速度 明显 变 慢 ， 而 且 软盘 正常 的 
读 写 顺序 也 会 被 打 乱 ， 发 出 刺耳 的 噪声 。 

(5) 计算 机 病毒 错误 与 不 可 预见 的 危害 。 计 算 机 病毒 与 其 他 计算 机 软件 的 区 别 是 病毒 
的 无 责任 性 。 编 制 一 个 完善 的 计算 机 软件 需要 耗费 大 量 的 人 力 、 物 力 ， 经 过 长 时 间 调 试 测 
试 。 而 病毒 都 是 个 别人 在 一 台 计算 机 上 匆匆 编制 调试 后 就 向 外 抛 出 。 反 病毒 专家 在 分 析 大 
量 病毒 后 发 现 ， 绝 大 部 分 病毒 都 存在 不 同 程度 的 错误 。 

(6) 病毒 的 另 一 个 主要 来 源 是 变种 病毒 。 有 些 计算 机 初学 者 尚 不 具备 独立 编制 软件 的 
能 力 ， 出 于 好 奇 修改 别人 的 病毒 ， 生 成 变种 病毒 ， 其 中 就 隐 含 着 很 多 错误 。 计 算 机 病毒 错 
误 所 产生 的 后 果 往 往 是 不 可 预见 的 ， 有 可 能 比 病毒 本 身 的 危害 还 要 大 。 

(7) 计算 机 病毒 给 用 户 造成 严重 的 心理 压力 。 据 有 关 计 算 机 销售 部 门 统计 ， 用 户 怀疑 
“计算 机 有 病毒 ”而 提出 咨询 约 占 售后 服务 工作 量 的 60% 以 上 。 经 检测 确实 存在 病毒 的 约 
占 70%， 另 有 30% 的 情况 只 是 用 户 怀疑 有 病毒 。 那 么 用 户 怀疑 有 病毒 的 理由 是 什么 呢 ? 多 
半 是 出 现 诸如 计算 机 死机 、 软 件 运行 异常 等 现象 。 这 些 现象 确实 很 有 可 能 是 计算 机 病毒 造 
成 的 ， 但 又 不 全 是 。 实 际 上 在 计算 机 工作 异常 的 时 候 很 难 要 求 一 位 普通 用 户 去 准确 判断 是 
和 否 是 病毒 所 为 。 大 多 数 用 户 对 病毒 采取 宁可 信 其 有 的 态度 ， 这 对 于 保护 计算 机 安全 无 疑 是 
十 分 必要 的 ， 然 而 往往 要 付出 时 间 、 金 钱 等 代价 。 另 外 ， 仅 仅 因为 怀疑 有 病毒 而 格式 化 磁 
盘 所 带 来 的 损失 更 是 难以 弥补 。 

总 之 ， 计 算 机 病毒 像 幽 灵 一 样 笼罩 在 广大 计算 机 用 户 的 心头 ， 给 人 们 造成 巨大 的 心理 
压力 ， 极 大 地 影响 了 计算 机 的 使 用 效率 ， 由 此 带 来 的 无 形 损失 是 难以 估量 的 。 


5.2 ” 几 种 典型 病毒 的 分 析 
计算 机 病毒 有 几 万 种 ， 本 节 介绍 几 种 典型 的 计算 机 病毒 。 


5.2.1 CIH 病毒 


1. CIH 病毒 简介 


CIH 病毒 是 我 国 台湾 省 一 位 名 叫 陈 表 豪 (CIH 是 其 名 字 的 缩写 ) 的 大 学 生 编写 的 。 目 前 传 
播 的 主要 途径 是 Intemet 和 电子 邮件 。 
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CIH 病毒 属于 文件 型 病毒 ， 主 要 感染 Windows 9X 下 的 可 执行 文件 。CIH 病毒 使 用 了 
面向 Windows 的 VxD 技术 ， 使 得 这 种 病毒 传播 的 实时 性 和 隐蔽 8 性 都 很 强 。 

CIH 病毒 至 少 有 v1.0、v1.1、v1.2、v1.3、v1.4 等 5 个 版 本 。v1.0 版 本 是 最 初 的 CIH 版 
本 ， 不 具有 破坏 性 ;，v1.1 版 本 能 自动 判断 运行 系统 ， 如 是 Windows NT， 则 自我 隐藏 ， 被 
感染 的 文件 长 度 并 不 增加 ; v1.2 版 本 增加 了 破坏 用 户 硬盘 及 BIOS 的 代码 ， 成 为 恶性 病毒 ， 
发 作 日 是 每 年 4 月 26 日 ;v1.3 版 本 发 作 日 是 每 年 6 月 26 日 ; v1.4 版 本 发 作 日 为 每 月 26 日 。 


2. CIH 病毒 的 破坏 性 


CIH 病毒 感染 Windows 可 执行 文件 ， 却 不 感染 Word 和 Excel 文档 ; 感染 Windows 9X 
系统 ， 却 不 感染 Windows NT 系统 。 

CIH 病毒 采取 一 种 特殊 的 方式 对 可 执行 文件 进行 感染 ， 感 染 后 的 文件 大 小 没有 变化 ， 
病毒 代码 的 大 小 在 1KB 左右 。 当 一 个 已 染 毒 的 exe 文件 被 执行 时 ，CIH 病毒 驻 留 内 存 ， 在 
其 他 程序 访问 时 对 它们 进行 感染 。 

CIH 最 大 的 特点 就 是 对 计算 机 硬盘 及 BIOS 具有 超 强 的 破坏 能 力 。 在 病毒 发 作 时 ， 病 
毒 从 硬盘 主 引 导 区 开始 依次 往 硬 盘 中 写 入 垃圾 数据 ， 直 到 硬盘 数据 全 被 破坏 为 止 。 因 此 ， 
当 CIH 被 发 现时 ， 硬 盘 数 据 已 经 遭 到 破坏 ， 当 用 户 想到 要 采取 措施 时 ， 面 临 的 可 能 已 经 是 
一 台 瘫 痪 的 计算 机 了 。 

CIH 病毒 发 作 时 还 试图 覆盖 BIOS 中 的 数据 。 一 旦 BIOS 被 覆盖 掉 ， 机 器 将 不 能 启动 ， 
只 有 对 BIOS 进行 重 写 。 


3. 判断 感染 CIH 病毒 的 方法 


有 两 种 简单 的 方法 可 以 判断 是 否 已 经 感染 上 了 CIH 病毒 。 

(1) 一 般 来 讲 , CIH 病毒 只 感染 .exe 可 执行 文件 , 可 以 用 Ultra Edit 打开 一 个 常用 的 .exe 
文件 (如 记事 本 NotePad.exe 或 写字 板 WordPad.exe), 然后 单 击 * 切 换 十 六 进 制 模式 按钮 (GD)”， 
再 查找 “CIHvl. ”， 如 果 发 现 “CIHvL2”、“CIHv13” 或 “CIHvL4” 等 字符 串 ， 则 说 明 
计算 机 已 经 感染 CIH 病毒 了 。 

(2) 感染 了 CIH v1.2 版 ， 则 所 有 WinZip 自 解压 文件 均 无 法 自动 解 开 ， 同 时 会 出 现 信 
息 “WinZip 自 解压 首部 中 断 。 可 能 原因 : 磁盘 或 文件 传输 错误 。” 感 染 了 CIHv1.3 版 ， 则 
部 分 WinZip 自 解压 文件 无 法 自动 解 开 。 如 果 遇 到 以 上 情况 ， 有 可 能 已 感染 上 CIH 病毒 了 。 

4. 防范 CIH 病毒 的 措施 

首先 应 了 解 CIH 病毒 的 发 作 时 间 ， 如 每 年 的 4 月 26 日 、6 月 26 日 及 每 月 26 日 。 在 病 
毒 爆发 前 夕 ， 提 前 进行 查 毒 、 杀 毒 ， 同 时 将 系统 时 间 改 为 其 后 的 时 间 ， 如 27 日 。 

其 次 ， 杜 绝 使 用 盗版 软件 ， 尽 量 使 用 正版 杀毒 软件 ， 并 在 更 新 系统 或 安装 新 的 软件 前 ， 
对 系统 或 新 软件 进行 一 次 全 面 的 病毒 检查 ， 做 到 防 患 于 未 然 。 

最 后 ， 一 定 要 对 重要 文件 经 常 进 行 备 份 ， 万 一 计算 机 被 病毒 破坏 还 可 以 及 时 恢复 。 

5. 感染 了 CIH 病毒 的 处 理 

首先 ， 注 意 保 护 主板 的 BIOS。 应 了 解 自己 计算 机 主板 的 BIOS 类 型 ， 如 果 是 不 可 升级 
的 ， 用 户 不 必 惊 慌 ， 因 为 CIH 病毒 对 这 种 BIOS 的 最 大 危害 ， 就 是 使 BIOS 返回 到 出 厂 时 


的 设置 ,用 户 只 要 将 BIOS 重新 设置 即 可 。 如 果 BIOS 是 可 升级 的 ， 用 户 就 不 要 轻易 地 从 C 
盘 重 新 启动 计算 机 (否则 BIOS 就 会 被 破坏 )， 而 应 及 时 地 进入 BIOS 设置 程序 ， 将 系统 引导 
盘 设置 为 A 盘 , 然后 用 Windows 的 系统 引导 软盘 启动 系统 到 DOS 7. 0， 对 硬盘 进行 一 次 全 
面 查 毒 。 

由 于 CIH 病毒 主要 感染 可 执行 文件 ， 不 感染 其 他 文件 ， 因 此 用 户 在 彻底 清除 硬盘 所 有 
的 CIH 病毒 后 ， 应 该 重新 安装 系统 软件 和 应 用 软件 。 

最 后 ， 如 果 硬 盘 数 据 遭 到 破坏 ， 可 以 直接 使 用 瑞星 等 杀毒 软件 来 恢复 。 用 瑞星 杀毒 软 
件 软盘 来 启动 计算 机 ， 进 入 瑞星 杀毒 软件 DOS 版 界面 ， 选 择 【 实 用 工具 】 菜 单 中 的 【修复 
硬盘 数据 】 命 令 ， 根 据 提 示 操 作 ， 就 可 以 对 硬盘 进行 恢复 。 恢 复 完 毕 后 ， 重 启 计算 机 ， 数 
据 将 会 失而复得 。 也 可 以 登录 瑞星 网 站 http://www.rising.com.on 下 载 硬盘 修复 专用 工具 完 
成 数据 的 恢复 。 


5.2.2” 宏 病毒 
1. 宏 病 毒 简介 


宏 病 毒 是 一 种 使 用 宏 编 程 语言 编写 的 病毒 ， 主 要 寄生 于 Word 文档 或 模板 的 宏 中 。 一 
旦 打开 这 样 的 文档 ， 宏 病毒 就 会 被 激活 ， 进 入 计算 机 内 存 ， 并 驻 留 在 Normal 模板 上 。 从 此 
以 后 ， 所 有 自动 保存 的 文档 都 会 感染 上 宏 病 毒 , 如 果 网 上 其 他 用 户 打 开 了 感染 病毒 的 文档 ， 
宏 病 毒 又 会 转移 到 他 的 计算 机 上 。 

宏 病 毒 通常 使 用 VB 脚本 影响 微软 的 Office 组 件 或 类 似 的 应 用 软件 ， 其 大 多 通过 邮件 
传播 。 最 有 名 的 例子 是 1999 年 的 美丽 杀手 病毒 (Melissa)， 通 过 Outlook 把 自己 放 在 电子 邮 
件 的 附件 中 自动 寄 给 其 他 收 件 人 。 


2. 宏 病 毒 的 特点 


(1) 感染 数据 文件 。 以 往 病毒 只 感染 程序 ， 不 感染 数据 文件 ， 而 宏 病 毒 专门 感染 数据 
文件 ， 彻 底 改 变 了 人 们 的 “数据 文件 不 会 传播 病毒 ”的 认识 。 

(2) 多 平台 交叉 感染 。 宏 病毒 冲破 了 以 往 病毒 在 单一 平台 上 传播 的 局 限 。 当 Word、 
Excel 这 类 著名 应 用 软件 在 不 同 平台 (如 Windows、OS/2 和 Macintosh) 上 运行 时 ， 会 被 宏 病 
毒 交叉 感染 。 

(3) 容易 编写 。 以 往 病毒 是 以 二 进 制 的 机 器 码 形式 出 现 的 ， 而 宏 病毒 则 是 以 人 们 容易 
阅读 的 源 代码 形式 出 现 ， 所 以 编写 和 修改 宏 病 毒 比 以 往 更 容易 。 这 也 是 前 几 年 宏 病毒 的 数 
量 居 高 不 下 的 原因 。 

(4) 容易 传播 。 只 要 一 打开 带 有 宏 病 毒 的 电子 邮件 ， 计 算 机 就 会 被 宏 病毒 感染 。 此 后 ， 
打开 或 新 建文 件 都 可 能 染 上 宏 病 毒 ， 这 导致 了 宏 病 毒 的 感染 率 非常 高 。 


3. 宏 病 毒 的 预防 

防治 宏 病 毒 的 根本 措施 在 于 限制 宏 的 执行 。 以 下 是 一 些 行 之 有 效 的 方法 。 

(1) 禁止 所 有 自动 宏 的 执行 。 在 打开 Word 文档 时 ， 按 住 Shift 键 ， 即 可 禁止 自动 宏 ， 
从 而 达到 防治 宏 病毒 的 目的 。 

(2) 检查 是 否 存 在 可 疑 的 宏 。 当 怀疑 系统 带 有 宏 病 毒 时 ， 首 先 应 检查 是 否 存 在 可 疑 的 
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宏 ， 特 别 是 一 些 奇 怪 名 字 的 宏 肯 定 是 病毒 无 疑 ， 将 它 删除 即 可 。 即 使 删除 错 了 ， 也 不 会 对 
Word 文档 内 容 产生 任何 影响 ,仅仅 是 少 了 相应 的 “ 宏 功 能 ”而 已。 具体 做 法 是 ， 选 择 【 工 
具 】 菜 单 中 的 【 宏 】 命 令 ， 打开 【 宏 】 对 话 框 ， 选 择 要 删除 的 宏 ， 单 击 【 删 除 】 按 钮 即 可 。 

(3) 按照 自己 的 习惯 设置 。 针对 宏 病 毒 感染 Normal.dot 模板 的 特点 , 可 重新 安装 Word 
后 ， 建 立 一 个 新 文档 ， 将 Word 的 工作 环境 按照 自己 的 使 用 习惯 进行 设置 ， 并 将 需要 使 用 
的 宏一 次 编制 好 ， 做 完 后 保存 新 文档 。 这 时 生成 的 Normal.dot 模板 绝对 没有 宏 病 毒 ， 可 将 
其 作 备份 。 在 遇 到 有 宏 病 毒 感染 时 , 用 备份 的 Normal.dot 模板 覆盖 当前 的 模板 , 消除 宏 病 毒 。 

(4) 使 用 Windows 自 带 的 写字 板 ,在 使 用 可 能 有 宏 病 毒 的 Word 文档 时 , 先 用 Windows 
自 带 的 写字 板 打开 文档 ， 将 其 转换 为 写字 板 格式 的 文件 保存 后 ， 再 用 Word 调用 。 因 为 写 
字 板 不 调用 、 不 保存 任何 宏 ， 文 档 经 过 这 样 的 转换 ， 所 有 附带 的 宏 ( 包 括 宏 病 毒 ) 都 将 丢失 ， 
这 条 经 验 特别 有 用 。 

(5) 提示 保存 Normal 模板 。 大 部 分 Word 用 户 仅 使 用 普通 的 文字 处 理 功能 ， 很 少 使 用 
宏 编 程 ， 对 Normal.dot 模板 很 少 去 进行 修改 。 因 此 ， 可 以 选择 【工具 】|【 选 项 】 命 令 , 打 
开 【 保 存 】 选 项 卡 ， 选 中 【提示 保存 Normal 模板 】 复 选 框 。 一 旦 宏 病毒 感染 了 Word 文档 ， 
退出 Word 时 ，Word 就 会 出 现 【 更 改 的 内 容 会 影响 到 公用 模板 Normal， 是否 保 存 这 些 修改 
内 容 ?】 的 提示 信息 ， 此 时 应 单 击 【 否 】 按 钮 ， 退 出 后 进行 杀毒 。 

(6) 使 用 .rtf 和 .csv 格式 代 蔡 .doc 和 .xls。 要 想 应 付 宏 所 产生 的 问题 ， 可 以 使 用 rtf 格式 
的 文档 来 代替 .doc 格式 ， 用 .csv 格式 的 电子 表格 来 代替 .xls 格式 ， 因 为 这 些 格 式 不 支持 宏 功 
能 。 在 与 其 他 人 交换 文件 时 ， 使 用 .rtf 和 .csv 格式 的 文件 最 安全 。 


4. 宏 病 毒 的 清除 


1) ”手工 清除 

【 例 5.1】 以 Word 为 例 ， 介 绍 宏 病 毒 的 清除 操作 。 

(1) 选择 【工具 】〗|【 宏 】 命 令 ， 打 开 宏 对 话 框 ， 如 图 5.1 所 示 。 

(2) 单 击 【管理 器 〗 按 钮 ， 打 开 【 管 理 器 〗 对 话 框 ， 切 换 到 【 宏 方 案 项 〗 选 项 卡 ， 在 
【 宏 方 案 项 的 有 效 范围 】 下 拉 列 表 框 中 选择 要 检查 的 文档 。 这 时 在 上 面 的 列表 框 中 就 会 出 
现 该 文档 模板 中 所 含 的 宏 ， 将 不 明 来 源 的 宏 删 除 ， 如 图 5.2 所 示 。 


样式 E) | 自动 图 文集 &) | 工具 栏 | 室 方 案 项 中 ) | 
在 Moraal dot 中 上 到 Normal dot OY 
Hellacros 


室 方 案 项 的 有 效 范围 @) 
Nornal dot 并 用 模板 ) 四 | 


关闭 文件 氏 ) 


完 的 位 置 WA) | 所 有 的 活动 模板 和 文档 


说 明 O: 
宝 在 2006-10-7 由 。 村 抽 


5.1 【 宏 】 对 话 框 图 5.2 【管理 器 】 对 话 框 


退出 Word， 然 后 先 到 C 盘 根 目录 下 查看 有 无 autoexec.dot 文件 ， 如 果 有 这 个 文件 则 删 
除 它 。 


找到 normaldot 文件 后 删除 它 。Word 会 自动 重新 生成 一 个 干净 的 normal.dot 文件 。 

到 目录 C:\Program Files\Wicrosoft Office\Office\Startup 下 查看 有 没有 模板 文件 , 如果 有 
而 且 不 是 用 户 自 己 建立 的 ， 则 删除 它 。 

重新 启动 Word， 这 时 Word 已 经 恢复 正常 了 。 

2) ”使 用 专业 杀毒 软件 

目前 的 杀毒 软件 (如 瑞星 等 ) 都 具备 清除 宏 病毒 的 能 力 。 当 然 也 只 能 对 已 知 的 宏 病 毒 进 
行 检查 和 清除 ， 对 于 新 出 现 的 病毒 或 病毒 的 变种 则 可 能 不 能 正常 地 清除 ， 或 者 将 会 破坏 文 
件 的 完整 性 ， 此 时 还 需要 手工 清理 。 


5.2.3 ”蠕虫 病毒 

1. 蠕虫 病毒 的 定义 

蠕虫 (Worm) 是 一 种 通过 网 络 传播 的 恶性 病毒 ， 通 过 分 布 式 网 络 来 扩散 传播 特定 的 信息 
或 错误 ， 进 而 造成 网 络 服务 遭 到 拒绝 并 发 生死 锁 。 

蠕虫 是 一 种 广义 的 计算 机 病毒 。 但 蠕虫 又 与 传统 的 病毒 有 许多 不 同 之 处 ， 如 不 利用 文 


件 寄 生 、 导 致 网 络 拒绝 服务 、 与 黑客 技术 相 结合 等 。 在 产生 的 破坏 性 上 ， 蠕 虫 病毒 也 不 是 
普通 病毒 所 能 比拟 的 ， 它 和 普通 病毒 的 主要 区 别 如 表 5.1 所 示 。 


表 5.1 普通 病毒 与 蠕虫 病毒 的 比较 


病毒 类 型 蠕虫 病毒 
存在 形式 寄生 于 文件 独立 程序 
传染 机 抽 主动 攻击 
传染 目标 网 络 计算 机 


自从 1988 年 美国 人 Robert Morris 从 实验 室 放出 第 一 个 蠕虫 病毒 以 来 ， 计 算 机 蠕虫 病 
毒 以 其 快速 、 多 样 化 的 传播 方式 不 断 给 网 络 世界 带 来 灾害 。 特 别 是 1999 年 以 来 ， 高 危 蠕虫 
病毒 的 不 断 出 现 ， 使 世界 经 济 蒙受 了 轻 则 几 十 亿 ， 重 则 几 百 亿美 元 的 巨大 损失 ， 如 表 5.2 
所 示 。 


表 5.2 ”蠕虫 造成 的 损失 
病毒 名 称 爆发 时 间 造成 损失 


莫 里 斯 蠕虫 6000 多 台 计 算 机 停机 ， 经 济 损失 达 9600 万 美元 
加 政府 部 门 和 一 些 大 公司 紧急 关闭 了 网 络 服务 器 , 经 济 损失 超过 12 
美丽 杀手 凯 
亿美 元 
爱 虫 病毒 


众多 用 户 计算 机 被 感染 ， 损 失 超 过 96 亿美 元 
网 络 瘫痪 ， 直 接 经 济 损失 超过 26 亿美 元 


求职 信 2001 年 12 月 大 量 病毒 邮件 堵塞 服务 器 ， 损 失 达 数 百 亿 美元 


es 网 络 大 面积 瘫痪 ， 银 行 自 动 提 款 机 运作 中 断 ， 直 接 经 济 损失 超过 
蠕虫 王 2003 年 1 月 26 亿美 元 
元 
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爆发 时 间 造成 损失 
2003 年 7 月 大 量 网 络 瘫 病 ， 造 成 数 十 亿美 元 的 损失 


大 量 的 垃圾 邮件 攻击 SCO 和 微软 网 站 ， 给 全 球 经 济 造成 了 300 
多 亿美 元 的 损失 


据 调 查 ，2004 年 破坏 性 最 大 的 十 大 病毒 分 别 是 网 络 天 空 (Worm.Netsky)、 爱 情 后 门 
(Worm.Lovgate)、SCO 炸弹 (Worm.Novarg)、 小 邮差 (Worm.Mimail)、 垃 圾 桶 (Worm.Lentin.m)、 
恶 应 (Worm.Bbeagle)、 求 职 信 (Worm.Klez)、 高 波 (Worm.Agobot3)、 震 荡 波 (Worm.SassenD 
和 瑞 波 (BackdoorRbob) 等 。 从 病毒 名 字 就 可 以 看 出 ， 几 乎 全 部 是 蠕虫 病毒 ， 可 见 蠕 虫 病毒 
已 经 成 为 目前 危害 网 络 安全 的 最 严重 的 一 害 。 


2. 蠕虫 病毒 的 基本 结构 和 传播 过 程 


(1) 蠕虫 的 基本 程序 结构 包括 以 下 3 个 模块 。 

@ 传播 模块 。 负 责 蠕虫 的 传播 ， 传 播 模块 又 可 以 分 为 3 个 基本 模块 ， 即 扫描 模块、 
攻击 模块 和 复制 模块。 

@ 隐 茂 模块。 侵入 主机 后 ， 隐 茂 蠕 虫 程序 ， 防 止 被 用 户 发 现 。 

@ 目的 功能 模块 实现 对 计算 机 的 控制 、 监 视 或 破坏 等 功能 。 

C) 蠕虫 程序 的 一 般 传播 过 程 如 下 。 

@ 扫描 。 由 蠕 中 的 扫描 模块 负责 探测 存在 漏洞 的 主机 。 当 程序 向 某 个 主机 发 送 探测 
漏洞 的 信息 并 收 到 成 功 的 反馈 信息 后 ， 就 得 到 一 个 可 传播 的 对 象 。 

@ 攻击 。 攻 击 模块 按 漏洞 攻击 步 又 自动 攻击 上 一 步骤 中 找到 的 对 象 ， 取 得 该 主机 的 
权限 (一 般 为 管理 员 权限 )， 获 得 一 个 Shell。 

@ 复制。 复制 模 块 通过 原 主机 和 新 主机 的 交互 将 蠕虫 程序 复制 到 新 主机 并 启动 。 
可 见 ， 传 播 模块 实现 的 实际 上 是 自动 入 侵 的 功能 ， 所 以 蠕虫 的 传播 技术 是 蠕虫 技术 的 
核心 。 

3. 时 虫 病毒 实例 一 爱情 后 门 


爱情 后 门 (Worm.Lovgate) 是 一 种 危害 性 很 强 的 蠕虫 病毒 ， 其 发 作 时 间 是 随机 的 ， 主 要 
通过 网 络 和 邮件 来 传播 ， 感 染 对 象 为 硬盘 文件 夹 。 

当 病 毒 运行 时 , 将 自己 复制 到 WINDOWS 目录 下 , 文件 名 为 winrpcsrv.exe 并 注册 成 系 
统 服务 ， 然 后 把 自己 分 别 复制 到 SYSTEM 目录 下 ， 文 件 名 为 syshelp.exe、wingate.exe， 并 
在 注册 表 RUN 项 中 加 入 自身 键 值 。 病 毒 利用 Ntdll 提供 的 API 找到 LSASS 进程 ， 并 对 其 
植 入 远程 后 门 代码 (该 代码 将 响应 用 户 TCP 请 求 建立 一 个 远程 Shell 进程 ，Windows 9X 为 
command.com，Windows NT/2000/XP 为 cmd.exe)， 之 后 病毒 将 自身 复制 到 WINDOWS 目 
录 并 尝试 在 win.ini 中 加 入 run=rpcsrvexe， 并 进入 传播 流程 。 

1) ”爱情 后 门 病毒 的 发 作 过 程 

(1) 密码 试探 攻击 。 病 毒 利用 IPC 对 Guest 和 Administrator 账号 进行 简单 密码 试探 ， 
如 果 成 功 则 将 自己 复制 到 对 方 的 系统 中 ， 文 件 路 径 为 System32\stg.exe， 并 注册 成 服务 ， 服 
务 名 为 Windows Remote Service。 


续 表 


2004 年 1 月 


(2) 放出 后 门 程序 。 病 毒 从 自身 体内 放出 一 个 .dll 文件 ， 负 责 建立 远程 Shell 后 门 。 

(3) 盗用 密码 。 病 毒 放 出 一 个 名 为 win32vxd.dll 的 文件 (hook 函数) 用 以 盗 取 用 户 密码 。 

(4) 后 门 。 病 毒 本 身 也 将 建立 一 个 后 门 ， 等 待 用 户 联 入 。 

(5) 局 域 网 传播 。 病 毒 穷 举 网 络 资源 ， 并 将 自己 复制 过 去 。 随 机 地 选取 病毒 体内 的 文 
件 名 ,有 以 下 几 种 文件 , 如 humor.exe、fun.exe、docs.exe、 s3msong.exe,、 midsong.exe.billgt.exe、 
Card EXE、 SETUP.EXE、 searchURL.exe 、tamagotxi.exe 、hamster.exe、news_doc.exe、 
PsPGame.exe、joke.exe、images.exe 和 pics,exe 等 。 


(6) 邮件 地 址 搜索 线程 。 病 毒 启动 一 个 线程 通过 注册 表 Software\Microsoft\Windows\ 


| CurrentVersion\Explorer\Shell Folders 得 到 系统 目录 ， 并 从 中 搜索 *.ht* 中 的 E-mail 地 址 ， 用 


以 进行 邮件 传播 。 
(7) 发 邮件 。 病 毒 利用 搜索 到 的 E-mail 地 址 进行 邮件 传播 。 邮 件 标题 随机 地 从 病毒 体 
内 选 出 : 
Cracks! 
The patch 
Last Update 
Test this ROM! IT ROCKS!. 
Adult content!!! Use with parental advi 
Check our list and mail your requests! 
I think all will work fine. 
Send reply if you want to be official b 
Test it 30days for free. 


2) ”计算 机 中 病毒 的 特征 

(1) 计算 机 感染 爱情 后 门 病毒 后 ， 会 出 现下 面 的 全 部 或 部 分 症状 。 

(2) D、E、F、G 得 不 能 双击 打开 ， 硬 盘 驱 动 器 根 目录 下 存在 autorun.inf 文件 。 

(3) 在 每 个 硬盘 驱动 器 根 目 录 下 存在 很 多 .zip 和 .rar 压缩 文件 , 文件 名 多 为 pass, work， 
install，letter， 大 小 约 为 126KB。 

(4) 在 每 个 硬盘 驱动 器 根 目录 下 都 存在 command.exe 文件 。 

(5) hxdef.exe、iexplore.exe、netmanager.exe、netmeeting.exe、winhelp.exe 等 进程 占用 
CPU 资源 。 

(6) 用 命令 Netstat -an 查看 网 络 连 接 , 会 发 现 有 很 多 端口 处 于 连接 或 监听 状态 。 网络 
速度 极 慢 。 

(7) 瑞星 杀毒 后 出 现 Windows 无 法 找到 command.exe 文件 ， 要 求 定位 该 文件 。 

(8) 在 任务 管理 器 上 看 到 多 个 cmd.exe 进程 。 

3) ”病毒 的 清除 

爱情 后 门 病毒 有 很 多 个 变种 ， 每 个 变种 的 感染 方式 不 尽 相 同 ， 所 以 清除 病毒 的 最 好 方 
法 是 使 用 专业 的 杀毒 软件 ， 如 瑞星 的 爱情 后 门 专 杀 工具 。 
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具体 的 处 理 过 程 可 按 以 下 步骤 进行 。 

(1) 给 系统 账户 设置 足够 复杂 的 登录 密码 ， 建 议 使 用 字母 + 数字 + 特殊 字符 。 

(2) 关闭 共享 文件 夹 。 

(3) 给 系统 打 补 丁 。 

(4) 升级 杀毒 软件 病毒 库 ， 断 开 网 络 的 物理 连接 ， 关 闭 系统 还 原 功 能 后 进入 安全 模式 
使 用 杀毒 软件 杀毒 。 

这 个 处 理 过 程 适用 于 所 有 病毒 。 一 般 的 杀毒 过 程 都 必须 经 过 这 几 步 ， 才 能 保证 彻底 地 


5.2.4 ”木马 病毒 
1. 木马 病毒 定义 


木马 全 称 为 特洛伊 木马 (Trojan Horse， 简 称 为 Trojan)， 在 计算 机 安全 学 中 ， 特 洛 伊 木 
马 是 指 一 种 计算 机 程序 ， 表 面 上 或 实际 上 有 某 种 有 用 的 功能 ， 而 含有 隐藏 的 可 以 控制 用 户 
计算 机 系统 、 危 害 系 统 安全 的 功能 ， 可 能 造成 用 户 资 料 的 泄露 、 破 坏 或 整个 系统 的 崩溃 。 
在 一 定 程度 上 ， 木 马 也 可 以 称 为 计算 机 病毒 。 


2. 木马 病毒 工作 原理 


在 Windows 系统 中 ,木马 一 般 作 为 一 个 网 络 服务 程序 在 感染 了 木马 的 计算 机 后 台 运 行 ， 
监听 本 机 一 些 特定 端口 ， 这 个 端口 号 多 数 比较 大 (5000 以 上 ， 但 也 有 部 分 是 5000 以 下 的 )。 
当 该 木马 相应 的 客户 端 程序 在 此 端口 上 请 求 连接 时 ， 它 会 与 客户 程序 建立 一 个 TCP 连接 ， 
从 而 被 客户 端 远程 控制 。 

木马 一 般 不 会 让 人 看 出 破绽 ， 对 于 木马 程序 设计 人 员 来 说 ， 要 隐藏 自己 所 设计 的 窗口 
程序 , 主要 途径 有 : 在 任务 栏 中 将 窗口 隐藏 , 这 个 只 要 把 Form 的 Visible 属性 调整 为 False， 
ShowInTaskBar 也 设置 为 False。 那 么 程序 运行 时 就 不 会 出 现在 任务 栏 中 了 。 如 果 要 在 任务 
管理 器 中 隐身 ， 只 要 将 程序 调整 为 系统 服务 程序 即 可 。 

木马 是 在 计算 机 刚 开 机 的 时 候 运行 的 ， 进 而 常 驻 内 存 。 其 大 都 采用 了 Windows 系统 启 
动 时 自动 加 载 应 用 程序 的 方法 ， 包 括 win.ini、system.ini 和 注册 表 等 。 

在 win.ini 文件 中 ，[WINDOWS] 下 面 ，“run=” 和 “load=” 行 是 Windows 启动 时 要 自 
动 加 载运 行 的 程序 项 目 ， 木 马 可 能 会 在 这 里 现 出 原形 。 一 般 情况 下 ， 它 们 的 等 号 后 面 什么 
都 没有 ， 如 果 发 现 后 面 跟 有 路 径 与 文件 名 ， 而 且 不 是 熟悉 的 或 以 前 没有 见 到 过 的 启动 文件 
项 目 ， 那 么 该 计算 机 就 可 能 中 木马 病毒 了 。 当 然 也 得 看 清楚 ， 因 为 好 多 木马 还 通过 其 容易 
混淆 的 文件 名 来 愚弄 用 户 。 例 如 ，AOL Trojan 把 自身 伪装 成 command.exe 文件 ， 如 果 不 注 
意 可 能 不 会 发 现 它 ， 而 误 认 它 为 正常 的 系统 启动 文件 。 

在 system.ini 文件 中 ，[BOOT] 下 面 有 “shell=Explorer.exe” 项 。 如 果 等 号 后 面 不 仅仅 
是 explorer.exe， 而 是 “shell-Explorer.exe 程序 名 ”, 那么 后 面 跟着 的 那个 程序 就 是 木马 程 
序 ， 说 明 该 计算 机 中 了 木马 。 

隐蔽 性 强 的 木马 都 在 注册 表 中 作文 章 ， 因 为 注册 表 本 身 就 非常 庞大 、 众 多 的 启动 项 目 
极 易 掩 人 耳目 。 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 


HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersionN\RunOnce 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersionN\RunOnceEx 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersionN\RunServices 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce 

上 面 这 些 主键 下 面 的 启动 项 目 都 可 以 成 为 木马 的 藏身 之 处 。 如 果 是 Windows NT， 那 
还 得 注意 HKEY-LOCAL-MACHINE\Software\SAM 下 的 内 容 , 通过 regedit 等 注册 表 编 辑 工 
具 查 看 SAM 主键 ， 里 面 应 该 是 空 的 。 

木马 驻 留 在 计算 机 内 存 以 后 ， 还 要 有 客户 端 程序 来 控制 才 可 以 进行 相应 的 “黑箱 ” 操 
作 。 客 户 端 要 与 木马 服务 器 端 进行 通信 就 必须 建立 连接 (一 般 为 TCP 连接)， 通 过 相应 的 程 
序 或 工具 都 可 以 检测 到 这 些 非法 网 络 连接 的 存在 。 

3. 木马 病毒 的 检测 


首先 ， 查 看 system.ini、win.ini、 启 动 组 中 的 启动 项 目 。 选 择 【 开 始 】| 【运行 】 命 令 后 
输入 msconfig， 运 行 Windows 自 带 的 “系统 配置 实用 程序 ”。 

1) ”查看 system.ini 文件 

选中 System_ini 标签 , 展开 [boot] 目 录 , 查看 “shell=” 行 , 正常 应 为 “shell=Explorer.exe”， 
如 果 不 是 则 可 能 中 木马 了 。 

2) ”查看 win_ini 文件 

选中 win.ini 标签 ， 展开 [windows] 目 录 ， 查 看 “rn=” 和 “load=” 行 ， 等 号 后 面 正常 
应 该 为 空 。 

3) ”查看 启动 组 

再 看 启动 标签 中 的 启动 项 目 ， 有 没有 什么 非 正常 项 目 ? 要 是 有 类 似 netbus、netspy、bo 
等 关键 词 ， 极 有 可 能 是 中 木马 了 。 

4) 查看 注册 表 

选择 【开始 】|【 运 行 】 命 令 ， 输 入 regedit， 单 击 【确定 】 按 钮 就 可 以 运行 注册 表 编 辑 
器 。 再 展开 至 “HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun ” 
目录 下 , 查看 键 值 中 有 无 自己 不 熟悉 的 自动 启动 文件 项 目 ， 比 如 netbus、netspy、netserver 
等 的 关键 词 。 
注意 ， 有 的 木马 程序 生成 的 服务 器 程序 文件 很 像 系 统 自身 的 文件 ， 想 由 此 伪装 蒙混 过 
关 。 比 如 Acid Battery 木马 , 它 会 在 注册 表 项 “HKEY-LOCAL-MACHINESOFTWAREMicrosoft 
WindowsCurrentVersionRun” 下 加 入 Explorer=“CWINDOWSexpiorer.exe”， 木马 服务 器 程 
序 与 系统 自身 的 真正 的 Explorer 之 间 只 有 一 个 字母 的 差别 ! 

通过 类 似 的 方法 对 下 列 各 个 主键 下 面 的 键 值 进行 检查 : 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersionN\RunOnce 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersionN\RunOnceEx 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersionN\RunServices 

HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce 

如 果 操 作 系 统 是 Windows NT， 还 得 注意 HKEY-LOCAL-MACHINE\Software\SAM 下 
面 的 内 容 ， 如 果 有 项 目 ， 那 极 有 可 能 就 是 木马 了 。 正 常情 况 下 ， 该 主键 下 面 是 空 的 。 
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当然 在 注册 表 中 还 有 很 多 地 方 都 可 以 隐藏 木马 程序 ， 上 面 这 些 主键 是 木马 比较 常用 的 
隐身 之 处 ,此 外 , 像 HKEY-CURRENT-USER\ Software\Microsoft\Windows\ CurrentVersion\Run、 
HKEY-USERS\****\Software\Microsoft\WWindows\CurrentVersion\Run 的 目录 下 都 有 可 能 成 
为 木马 的 藏身 之 处 。 最 好 的 办 法 就 是 在 HKEY-LOCAL-MACHINE\Software\Microsoft\ 
Windows\CurrentVersion\Run 或 其 他 主键 下 面 找 到 木马 程序 的 文件 名 , 再 通过 其 文件 名 对 整 
个 注册 表 进 行 全 面 搜索 就 知道 它 有 几 个 藏身 的 地 方 了 。 

如 果 稍 加 留意 ， 注 册 表 各 个 主键 下 都 会 有 个 叫 “( 默 认 )” 名 称 的 注册 项 ， 而 且 数 据 显 
示 为 “( 未 设置 键 值 )”， 也 就 是 空 的 。 这 是 正常 现象 。 如 果 发 现 这 个 默认 项 被 蔡 换 了 ， 那 
么 替换 它 的 就 是 木马 了 。 

5) ”其 他 方法 

上 网 过 程 中 ， 在 进行 一 些 计算 机 正常 使 用 操作 时 ， 发 现 计算 机 速度 明显 起 了 变化 、 硬 
盘 在 不 停 地 读 写 、 鼠 标 不 听 使 唤 、 键 盘 无 效 、 自 己 的 一 些 窗口 在 未 得 到 自己 允许 的 情况 下 
被 关闭 、 新 的 窗口 被 莫名 其 妙 地 打开 等 ， 这 一 切 的 不 正常 现象 都 可 能 是 木马 客户 端 在 远程 
控制 计算 机 的 结果 。 


4. 木马 病毒 的 删除 


首先 要 将 网 络 断 开 ， 以 排除 来 自 网 络 的 影响 ， 再 选择 相应 的 方法 删除 它 。 

1) ”通过 木马 的 客户 端 程序 删除 

根据 前 面 在 win.ini\system.ini 和 注册 表 中 查找 到 的 可 疑 文件 名 判断 木马 的 名 字 和 版 本 ， 
比如 “netbus”、“netspy” 等 ， 对 应 的 木马 就 是 NETBUS 和 NETSPY。 从 网 上 找到 其 相 
应 的 客户 端 程序 , 下 载 并 运行 该 程序 , 在 客户 端 程序 对 应 位 置 填 入 本 地 计算 机 地 址 127.0.0.1 
和 端口 号 ， 就 可 以 与 木马 程序 建立 连接 。 再 由 客户 端的 卸 除 木马 服务 器 的 功能 来 卸 除 木马 。 
端口 号 可 用 “netstat -a” 命 令 查找 。 

这 种 方法 清除 木马 最 容易 ， 相 对 来 说 也 比较 彻底 。 但 还 存在 一 些 浆 端 ， 如 果木 马 文件 
名 被 更 名 ， 就 无 法 通过 这 些 特征 来 判断 到 底 是 什么 木马 了 。 如 果木 马 被 设置 了 密码 ， 即 使 
客户 端 程序 可 以 连接 上 ， 没 有 密码 也 登录 不 进 本 地 计算 机 。 另 外 ， 如 果 该 木马 的 客户 端 程 
序 没 有 提供 卸载 木马 的 功能 ， 那 么 该 方法 就 无 效 了 。 

2) ”手工 删除 

如 果 不 知道 中 的 是 什么 木马 、 无 登录 的 密码 、 找 不 到 其 相应 的 客户 端 程序 等 ， 那 就 只 
能 手工 删除 木马 了 。 

用 msconfig 打开 系统 配置 实用 程序 ,对 win.ini、system.ini 和 启动 项 目 进行 编辑 。 屏 蔽 
掉 非 法 启动 项 。 如 在 win.ini 文件 中 ， 将 WINDOWS 选项 的 “run=xxx” 或 “load=xxx” 更 
改 为 “mn=” 和 “load=”; 编辑 system.ini 文件 ， 将 BOOT 选项 的 “shell=xxx”， 更 改 为 
“shell=Explorer.exe” 。 

用 regedit 命令 打开 注册 表 编 辑 器 ， 对 注册 表 进 行 编辑 。 先 由 上 面 的 方法 找到 木马 的 程 
序 名 ， 再 在 整个 注册 表 中 搜索 ， 并 删除 所 有 木马 项 目 。 由 查找 到 的 木马 程序 注册 项 ， 分 析 
木马 文件 在 硬盘 中 的 位 置 .启动 到 纯 MS-DOS 状态 (而 不 是 在 Windows 环境 中 开 个 MS-DOS 
窗口 ), 用 del 命令 将 木马 文件 删除 。 如 果木 马 文件 是 系统 、 隐 藏 或 只 读 文件 , 还 要 通过 “attrib 
-s -h 了 ”将 对 应 文件 的 属性 改变 ， 才 可 以 删除 。 


位 为 保险 起 见 ， 重 新 启动 以 后 再 由 上 面 各 种 检测 木马 的 方法 对 系统 进行 检查 ， 以 确保 木 
机 | 马 的 确 被 删除 了 。 

目前 也 有 一 些 木 马 是 将 自身 的 程序 与 Windows 的 系统 程序 进行 了 绑 定 (也 就 是 感染 了 
信 | 系统 文件 )。 比 如 常用 到 的 explorer.exe， 只 要 explorer.exe 一 得 到 运行 ， 木 马 也 就 启动 了 。 
和 这 种 木马 可 以 感染 可 执行 文件 。 由 手工 删除 文件 的 方法 处 理 木 马 后 ， 一 运行 explorer.exe， 
全 木马 又 得 以 复生 ! 这 时 要 删除 木马 就 得 连 explorer.exe 文件 一 起 删除 掉 ， 再 从 其 他 相同 操作 
系统 版 本 的 计算 机 中 将 该 文件 复制 过 来 。 


5. 木马 病毒 实例 


Intermet 上 每 天 都 有 新 的 木马 出 现 ， 所 采取 的 隐蔽 措施 也 是 五 花 八 门 。 下 面 介 绍 几 种 常 
见 的 木马 病毒 的 清除 方法 。 

1) ”trojan.agent 病毒 的 清除 

清除 trojan.agent 病毒 可 在 安全 模式 下 进行 以 下 处 理 。 

(1) 重启 计算 机 进入 安全 模式 。 

(2) 通过 控制 面板 打开 【添加 删除 程序 】 对 话 框 ， 找 到 windirected2.0 并 印 载 。 

(3) 在 安全 模式 下 ， 打 开 控 制 面板 的 Intemet 选项 ， 单 击 【 删 除 文件 】 按 钮 ， 打 开 删 除 
文件 对 话 框 ， 选 中 【删除 所 有 脱 机 内 容 】 复 选 框 。 

(4) 在 安全 模式 下 删除 以 下 文件 夹 。 

C:\Windows\System32\mscache 

C:\Windows\System32\msicn 

(5) 重启 计算 机 到 正常 模式 ， 再 用 杀毒 程序 全 盘 扫 描 。 

2) ”Trojan.psw.agent.any 病毒 的 清除 

Trojan.psw.agent.any 病毒 会 自动 将 用 户 的 正 主页 锁定 为 一 个 名 叫 “9505 上 网 导航 ”的 
网 站 ， 并 会 自动 从 网 上 下 载 新 的 变种 病毒 。 该 病毒 运行 后 会 将 自身 复制 到 系统 文件 目录 中 ， 
文件 名 为 msprt.dll， 同 时 将 自身 复制 到 QQ 软件 安装 目录 下 ， 并 从 互联 网 上 下 载 染 毒 的 
riched32.dll 文件 覆盖 原 有 文件 ， 使 用 户 启动 QQ 时 自动 运行 病毒 。 该 病毒 还 会 修改 系统 配 
置 文件 ， 使 用 户 访问 其 他 网 站 时 自动 跳 转 到 “9505 上 网 导航 ”网 站 。 

可 以 采取 以 下 措施 预防 和 清除 trojan.psw.agent.any 病毒 

@ 升级 杀毒 软件 到 最 新 版 本 ， 同 时 开启 实时 监控 程序 ， 防 止 病毒 侵入 。 

@ 在 个 人 防火 墙 的 网 站 访问 控制 黑 名 单 中 加 入 “www.9505.com” 地 址 ， 并 开启 家 长 
保护 功能 ， 阻 断 病 毒 的 升级 途径 。 

图 ”如果 发 现 正 浏览 器 的 首页 被 莫名 其 妙 地 设置 为 “9505 上 网 导航 ”网 站 ， 请 立即 
使 用 杀毒 软件 查 毒 。 

3) ”trojan.dropper 病毒 的 清除 

TROJAN.Dropper， 即 木马 捆绑 和 伪装 工具 ， 可 以 把 木马 捆绑 到 其 他 文件 上 。 

如 果 同 时 按 Ctrl+Alt+Del 组 合 键 打开 【Windows 任务 管理 器 】， 单 击 进程 ， 发 现 以 下 
进程 : hmisvc32.exe、email.exe、oiexe、ctsvccd.exe、adservice.exe、 msmonk32.exe 、 
gesfm32.exe， 则 该 计算 机 可 能 已 经 感染 了 w32.randex2、w32.spybot 脚本 间谍 蠕虫 病毒 、 
trojan.dropper 点 滴 木 马 等 病毒 。 可 用 以 下 方法 解决 。 
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关闭 系统 还 原 的 功能 (Windows Me/XP)。 
联 上 网 络 更 新 病毒 定义 库 。 
更 新 完 后 重新 开机 ( 按 F8 键 )， 并 且 开 机 到 安全 模式 或 者 VGA 模式 。 
执行 全 系统 的 扫描 ， 并 且 删 除 侦 测 到 有 感染 病毒 的 所 有 档案 。 
删除 被 病毒 自行 增加 到 登录 文件 的 登录 值 。 

Trojan.dl 病毒 的 清除 
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Trojan.dl 病毒 是 一 种 在 Windows 系统 下 的 特洛伊 木马 病毒 ， 一 般 是 PE 病毒 。trojan.dl 
大 约 有 100 种 ， 表 5.3 列举 一 些 常见 trojan.dl 病毒 全 名 。 


表 5.3 trojan.d| 病毒 的 分 类 及 名 称 


序 号 病毒 分 类 病毒 名 
1 Windows 下 的 PE 病毒 trojan.dl.banload.css 
2 Windows 下 的 PE 病毒 trojan.dl.banload.cst 
3 Windows 下 的 PE 病毒 trojan.dl.banload.csu 
4 Windows 下 的 PE 病毒 trojan.dl.banload.csv 
5 Windows 下 的 PE 病毒 trojan.dl.vb.bdp 
6 Windows 下 的 PE 病毒 trojan.dl.agent.ijn 
3 Windows 下 的 PE 病毒 trojan.dl.vb.bdgq 
8 Windows 下 的 PE 病毒 trojan.dl.vb.bdr 
9 Windows 下 的 PE 病毒 trojan.dl.qqhelper.dus 
10 Windows 下 的 PE 病毒 trojan.dl.qqhelper.dut 
11 Windows 下 的 PE 病毒 trojan.dl.vb.bdo 
这 Windows 下 的 PE 病毒 trojan.dl.qoologic.de 
13 Windows 下 的 PE 病毒 trojan.dl.agent.ilv 
14 普通 文件 病毒 trojan.dl.agent.ilx 
15 Windows 下 的 PE 病毒 trojan.dl.agent.il 
16 Windows 下 的 PE 病毒 trojan.dl.banload.cvw 
17 Windows 下 的 PE 病毒 trojan.dl.banload.cvx 
18 Windows 下 的 PE 病毒 trojan.dl.banload.cvy 
19 Windows 下 的 PE 病毒 trojan.dl.banload.cvz 
20 Windows 下 的 PE 病毒 trojan.dl.banload.cwa 


PEL( 可 移植 的 执行 体 ，Portable Executable) 是 Windows 下 的 一 个 32 位 的 文件 格式 ， 可 
以 在 安全 模式 下 删除 ， 其 危害 和 一 般 病毒 是 一 样 的， 只 不 过 病毒 通过 修改 可 执行 文件 的 代 
码 中 程序 入 口 地 址 ， 变 成 病毒 的 程序 入 口 ， 导 致 运行 时 执行 病毒 文件 。 


黑客 恶意 攻击 计算 机 的 跳板 ， 或 代替 黑客 完成 其 他 恶意 任务 。 
代理 下 载 器 变种 BE(trojan.dl.agent.be) 木 马 病毒 通过 网 络 传播 ， 病 毒 运 行 后 将 自己 安装 


到 系统 目录 ， 同 时 修改 系统 配置 文件 ， 实 现 开 机 自动 运行 。 


trojan.dl.agent 病毒 是 一 个 代理 木马 , 该 木马 的 进程 文件 是 dlmain 或 dlmain.dll, 是 用 于 


病毒 会 连接 网 页 ， 下 载 其 他 的 
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病毒 和 木马 程序 。 下 载 的 病毒 或 木马 可 能 会 盗 取 用 户 的 账号 、 密 码 等 信息 并 发 送 到 黑客 指 
定 的 信箱 中 。 根 据 这 些 特 点 应 该 先 管理 启动 项 ， 把 同 病 毒 有 关 的 程序 删除 ， 然 后 用 杀毒 软 
件 对 计算 机 进行 检查 ， 找 到 病毒 的 安装 路 径 后 全 部 删除 ， 再 进入 注册 表 查 找 同 病毒 有 关 的 
键 值 ， 全 部 删除 。 

如 果 您 的 操作 系统 是 Windows XP， 可 按 以 下 步骤 删除 Trojan.DL.Agent be 病毒 。 

@ 启动 计算 机 按 F8 键 进入 安全 模式 ， 然 后 删除 以 下 3 个 文件 : 

Co%windows\%system32\VIPTray.exe 

Co%windows\%system32\WinDefendor.dll 

Co%windows\%system32\friendly.exe 

@， 修复 注册 表 键 值 (修改 之 前 请 务必 备份 注册 表 ) 为 


HKEY_ LOCAL MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 


修改 键 值 System 为 空 (即将 键 值 System 指向 的 数值 数据 删除 )。 
删除 注册 表 中 与 WinDefendor.dll 相关 的 键 值 。 
@ 重新 启动 计算 机 。 


5.3 ”计算 机 病毒 的 症状 


计算 机 病毒 是 一 段 程序 代码 ， 虽 然 可 能 隐藏 得 很 好 ， 但 也 会 留 下 蛛丝马迹 。 通 过 对 这 
些 痕迹 的 观察 和 判别 ， 就 能 够 发 现 病毒 。 

根据 病毒 感染 和 发 作 的 阶段 ， 计 算 机 病毒 的 症状 可 以 分 为 3 个 阶段 ， 计 算 机 病毒 发 作 
前 症状 、 病 毒 发 作 时 症状 和 病毒 发 作 后 症状 。 


5.3.1 病毒 发 作 前 的 症状 


病毒 发 作 前 是 指 从 计算 机 病毒 感染 计算 机 系统 、 潜 伏 在 系统 内 开始 ， 一 直到 激发 条 件 
满足 、 计 算 机 病毒 发 作 之 前 的 一 个 阶段 。 在 这 个 阶段 ， 计 算 机 病毒 的 行为 主要 是 以 潜伏 和 
传播 为 主 。 计 算 机 病毒 会 以 各 种 手法 来 隐藏 自己 ， 在 不 被 发 现 的 同时 ， 又 自我 复制 ， 以 各 
种 手段 进行 传播 。 

计算 机 病毒 发 作 前 常见 的 症状 如 下 。 

(1) 计算 机 运行 速度 变 慢 。 在 硬件 设备 没有 损坏 或 更 换 的 情况 下 ， 本 来 运行 速度 很 快 
的 计算 机 ， 速 度 明 显 变 慢 ， 而 且 重启 后 依然 很 慢 。 这 很 可 能 是 计算 机 病毒 占用 了 大 量 的 系 
统 资源 ， 并 且 自 身 的 运行 占用 了 大 量 的 处 理 器 时 间 ， 造 成 系统 资源 不 足 所 致 。 

(2) 以 前 能 正常 运行 的 软件 经 常 发 生 内 存 不 足 的 错误 。 某 个 以 前 能 够 正常 运行 的 程序 ， 
程序 激活 时 或 使 用 应 用 程序 中 的 某 个 功能 时 报告 内 存 不 足 。 这 很 可 能 是 由 于 计算 机 病毒 驻 
留 后 占用 了 大 量 内 存 空 间 造成 的 。 

(3) 运行 正常 的 计算 机 经 常 死 机 。 病 毒 感染 了 计算 机 系统 后 ， 将 自身 驻 留 在 系统 内 并 
修改 了 中 断 处 理 程序 等 ， 引 起 系统 工作 不 稳定 ， 造 成 死机 现象 。 

(4) 操作 系统 无 法 正常 激活 。 关 机 后 再 激活 ， 操 作 系统 报告 缺少 必要 的 激活 文件 ， 或 
激活 文件 受 损 ， 系 统 无 法 激活 。 这 很 可 能 是 计算 机 病毒 感染 系统 文件 后 使 文件 结构 发 生 了 
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变化 ， 无 法 被 操作 系统 加 载 和 引导 。 

(5) 打印 和 通信 发 生 异常 。 在 硬件 没有 更 改 或 损坏 的 情况 下 ， 以 前 工作 正常 的 打印 机 ， 
突然 发 现 无 法 进行 打印 ， 或 打印 出 来 的 是 乱码 。 串 口 设备 无 法 正常 工作 ， 如 调制 解 调 器 不 
拨号 等 。 这 很 可 能 是 计算 机 病毒 驻 留 内 存 后 占用 了 打印 端口 、 串 行 通信 端口 的 中 断 服务 程 
序 ， 使 之 不 能 正常 工作 。 


5.3.2 ”病毒 发 作 时 的 症状 


计算 机 病毒 发 作 是 指 满足 计算 机 病毒 发 作 的 条 件 ， 病 毒 被 激活 ， 并 开始 破坏 行为 的 阶 
段 。 计 算 机 病毒 发 作 时 的 表现 各 不 相同 ， 这 与 计算 机 病毒 编写 者 的 心态 、 所 采用 的 技术 手 
段 等 密切 相关 。 

计算 机 病毒 发 作 时 常见 的 症状 如 下 。 

(1) 出 现 不 相干 的 语句 。 这 是 最 常见 的 一 种 现象 。 

(2) 播放 一 段 音 乐 。 这 类 病毒 大 多 属于 良性 病毒 。 

(3) 产生 特定 的 图 像 。 单 纯 地 产生 图 像 的 计算 机 病毒 大 多 也 是 良性 病毒 ， 只 是 在 发 作 
时 破坏 用 户 的 显示 界面 ， 干 扰 用 户 的 正常 工作 。 

(4) 扰乱 屏幕 显示 。 病 毒 被 激活 时 ， 会 有 多 种 扰乱 屏幕 显示 的 现象 发 生 ， 如 病毒 使 屏 
幕 显示 内 容 不 断 抖 动 等 。 

(5) 硬盘 灯 不 断 闪 烁 。 硬 盘 灯 闪烁 说 明 有 硬盘 读 、 写 操作 。 当 对 硬盘 有 持续 、 大 量 的 
操作 时 ， 硬 盘 灯 就 会 不 停 地 闪烁 ， 如 格式 化 或 者 写 入 很 大 的 文件 ， 或 者 对 某 个 硬盘 扇 区 或 
文件 反复 读 取 。 

(6) 破坏 写 盘 操 作 。 病 毒 被 激活 时 计算 机 不 能 写 盘 ， 或 者 写 操作 改 为 读 操作 ， 或 者 在 
写 盘 时 丢失 写 入 文件 的 部 分 内 容 。 

(7) 速度 下 降 。 病 毒 激 活 时 ， 病 毒 内 部 的 时 间 延 迟 程序 启动 。 在 时 钟 中 断 中 纳入 了 长 
时 间 的 循环 计算 ， 迫 使 计算 机 空转 ， 速 度 明 显 下 降 。 

(8) 破坏 键盘 输入 。 病 毒 激活 时 ， 会 对 键盘 的 输入 进行 破坏 。 常 见 的 现象 有 : 每 按 一 
次 键 时 ， 扬 声 器 响 一 声 ， 病 毒 将 键盘 封 住 ， 使 用 户 无 法 从 键盘 输入 数据 等 。 

(9) 扬声器 中 发 出 异样 的 声音 。 病 毒 发 作 时 ， 有 时 会 使 扬声器 中 发 出 异样 的 声音 ， 如 
警笛 声 、 炸 弹 声 、 扬 声 器 鸣叫 、 味 味 声 、 咬 噶 声 等 。 

(10) 占用 或 侵蚀 大 量 内 存 。 

(11) 发 出 虚假 警报 。 

(12) 干扰 内 部 命令 的 执行 。 病 毒 发 作 时 ， 有 时 会 干扰 DOS 内 部 命令 的 执行 ， 使 计算 机 
死机 或 不 能 正常 工作 。 

(13) 计算 机 突然 死机 或 重启 。 

(14) 强迫 用 户 玩 游戏 。 有 些 恶作剧 式 的 计算 机 病毒 发 作 时 ， 采 用 某 些 算法 简单 的 游戏 
来 中 断 用户 的 工作 ， 强 迫 用 户 一 定 要 玩 赢 了 才能 继续 工作 。 

(15) 攻击 CMOS。 在 计算 机 的 CMOS 区 中 ， 存 有 系统 的 重要 设置 数据 ， 如 系统 时 钟 、 
磁盘 类 型 、 显 示 器 类 型 、 内 存 容 量 、 加 密 的 机 器 密码 等 。 有 的 病毒 被 激活 时 ， 能 够 对 CMOS 
区 进行 写 入 动作 ， 破 坏 其 中 的 重要 数据 。 

(16) 破坏 文件 。 病 毒 激活 时 ， 有 时 会 使 用 户 打 不 开 文件 ， 或 删除 欲 运行 的 文件 ， 有 时 


Q@_ 


会 保持 文件 的 名 称 不 变 ， 而 用 其 他 的 程序 内 容 蔡 换 现在 正在 执行 的 文件 ， 有 时 也 会 更 改 文 
件 名 。 

(17) 时 钟 倒转 。 

(18) Windows 桌面 图 标 发 生变 化 。 

(19) 自动 发 送 电子 邮件 。 

(20) 鼠标 自己 动 。 

(21) 干扰 打印 机 。 病 毒 会 修改 系统 数据 区 中 有 关 打 印 机 的 参数 ， 使 系统 对 打印 机 的 控 
制 紊乱 ， 出 现 虚假 报警 ;病毒 使 打印 机 打印 输出 异常 ， 打 印 时 断 时 续 ， 病 毒 将 送 给 打印 机 


| 字符 进行 替换 ， 使 打印 的 内 容 变形 。 


5.3.3 ”病毒 发 作 后 的 症状 


大 多 数 计算 机 病毒 都 属于 恶性 病毒 ， 恶 性 病毒 发 作 后 往往 会 带 来 巨大 损失 。 

(1) 硬盘 无 法 激活 ， 数 据 丢 失 。 硬 盘 的 引导 扇 区 被 病毒 破坏 ， 无 法 激活 计算 机 。 有 些 
计算 机 病毒 修改 硬盘 的 关键 内 容 ， 使 得 原先 保存 在 硬盘 上 的 数据 几乎 完全 丢失 。 

(2) 以 前 能 正常 运行 的 应 用 程序 经 常 发 生死 机 或 者 非法 错误 。 这 可 能 是 由 于 计算 机 病 
毒 感染 应 用 程序 后 破坏 了 应 用 程序 的 正常 功能 ， 或 者 计算 机 病毒 程序 本 身 存在 着 兼容 性 方 
面 的 问题 造成 的 。 

(3) 系统 文件 丢失 或 被 破坏 。 通 常 系统 文件 是 不 会 被 删除 或 修改 的 ， 除 非 对 计算 机 操 
作 系统 进 行 升级 。 但 是 某 些 计算 机 病毒 发 作 时 会 删除 或 破坏 系统 文件 ， 使 计算 机 系统 无 法 
正常 激活 。 

(4) 文件 目录 发 生 混 乱 。 目 录 发 生 混乱 有 两 种 情况 : 一 种 是 确实 将 目录 结构 破坏 ， 将 
目录 扇 区 作为 普通 扇 区 ， 填 入 无 意义 的 数据 ， 且 无 法 恢复 ， 另 一 种 是 将 真正 的 目录 区 转移 
到 硬盘 的 其 他 扇 区 中 ， 只 要 内 存 中 存 有 该 病毒 ， 它 就 能 够 将 正确 的 目录 扇 区 读 出 ， 并 且 在 
应 用 程序 需要 访问 该 目录 时 提供 正确 的 目录 项 ， 使 得 从 表面 上 看 来 与 正常 情况 没有 两 样 。 
但 是 ,一旦 内 存 中 没有 该 计算 机 病毒 ， 通 常 的 目录 访问 方式 将 无 法 访问 到 原先 的 目录 扇 区 ， 
这 种 破坏 还 是 能 够 恢复 的 。 

(5) 病毒 破坏 宿主 程序 。 病 毒 对 宿主 程序 的 感染 采用 履 盖 重 写 的 方法 。 被 覆盖 宿主 程 
序 的 源 代码 丢失 ， 主 程序 被 永久 性 损坏 ， 病 毒 还 能 使 宿主 程序 变 成 碎片 。 此 类 病毒 是 恶性 
病毒 ， 宿 主 程序 染 毒 后 只 能 被 删除 。 病 毒 的 感染 频率 越 高 ， 其 杀伤 力 越 大 。 

(6) 部 分 文档 丢失 或 被 破坏 。 

(7) 文件 内 容 颠 倒 。 在 使 用 这 些 文件 之 前 ， 病 毒 预 先 将 其 内 容 恢 复原 样 ， 而 使 用 户 觉 
察 不 到 。 这 些 文件 是 以 被 病毒 颠倒 后 的 形态 存 入 磁盘 的 。 一 旦 消除 了 病毒 ， 由 于 无 法 恢复 
原 内 容 ， 这 些 文 件 将 全 部 报废 。 

(8) 部 分 文件 自动 加 密码 。 有 些 计 算 机 病毒 利用 加 密 算 法 ， 将 加 密 密 钥 保存 在 病毒 程 
序 体内 或 其 他 隐蔽 的 地 方 ， 被 感染 的 文件 被 加 密 ， 如 果 内 存 中 驻 留 有 这 种 病毒 ， 那 么 在 系 
统 访问 被 感染 的 文件 时 它 自动 将 文件 解密 ,使 用 户 察觉 不 到 。 一 旦 这 种 计算 机 病毒 被 清除 ， 
那么 被 加 密 的 文档 就 很 难 恢复 。 

(9) 内 部 堆栈 溢出 。MS-DOS 系统 内 部 有 几 个 内 部 堆栈 ， 不 同类 型 的 功能 调用 不 同 的 
内 部 堆栈 。DOS 的 不 可 重 入 ， 就 是 因为 内 部 堆栈 的 值 遭 到 破坏 。 有 的 病毒 会 导致 DOS 内 
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(10) 计算 机 重新 激活 时 格式 化 硬盘 。autoexec .bat 文件 在 每 次 系统 重新 激活 时 都 会 自动 
运行 ， 病 毒 修改 这 个 文件 ， 并 增加 Format C: 项 ， 导 致 计算 机 重新 激活 时 硬盘 被 格式 化 。 

(11) 禁止 分 配 内 存 。 病 毒 常 驻 内 存 后 ， 监 视 程 序 的 运行 ， 凡 是 要 求 分 配 内 存 的 程序 ， 
运行 将 受阻 。 

(12) 破坏 主板 。 目 前 新 型 主板 采用 “ 软 跳 线 ”连接 的 越 来 越 多 ， 这 正好 给 病毒 以 可 乘 
之 机 。“ 软 跳 线 ”是 指 在 BIOS 中 就 能 改动 CPU 的 电压 、 外 频 和 倍 频 。 病 毒 可 以 通过 修改 
BIOS 参数 ， 加 高 CPU 电压 使 其 过 热 而 烧 坏 ; 或 提高 CPU 的 外 频 ， 使 CPU 和 显卡 、 内 存 
等 外 设 超 负荷 工作 而 烧 坏 ， 这 类 事件 的 前 兆 就 是 死机 。 所 以 ， 如 果 发 现 机 器 经 常 死 机 ， 就 
要 立即 到 CMOS 中 查看 以 上 参数 是 否 改动 。 值 得 庆幸 的 是 ， 目 前 很 多 新 出 的 主板 都 有 CPU 
温度 监测 功能 ， 一 旦 CPU 超 温 就 立即 降 频 报警 ， 以 免 烧 坏 硬 件 。 

(13) 破坏 光驱 。 光 驱 中 的 光头 在 读 不 到 信号 时 就 会 加 大 激光 发 射 功率 ， 因 而 会 降低 光 
驱 的 寿命 。 病毒 可 以 让 光头 走 到 盘 片 边缘 无 信号 区 域 时 不 停 地 读 盘 ， 以 加 大 光头 发 射 功 率 ， 
从 而 损坏 光驱 。 因 此 要 经 常 留意 光驱 灯 的 闪 亮 情况 ， 判 断 光 驱 是 否 正常 工作 。 

(14) 破坏 显卡 。 目 前 很 多 中 、 高 档 显卡 都 可 以 手动 改变 其 芯片 的 频率 ， 且 修改 的 方法 
比较 简单 , 在 Windows 9X 注册 表 中 即 可 修改 。 这 使 病毒 可 以 利用 这 种 方法 改动 显卡 的 “ 显 
频 ”， 以 迫使 显卡 超 负 荷 工 作 直至 烧 坏 。 这 种 事件 的 前 兆 也 是 死机 。 所 以 ， 死 机 时 不 要 忽 
视 对 “ 显 频 ”的 检查 。 

(15) 花屏 。 如 果 显 示 器 在 使 用 过 程 中 出 现 了 花屏 ， 要 立即 关 掉 显示 器 的 电源 ， 重 新 启 
动 后 进入 安全 模式 再 查找 原因 。 

(16) 浪费 喷 墨 打印 机 的 墨水 。 喷 墨 打 印 机 的 喷头 很 容易 堵塞 ， 为 此 打印 机 公司 专门 发 
明了 浪费 墨水 的 “清洗 喷头 ”功能 ， 即 让 大 量 墨 水 冲 出 喷头 ， 清 除 杂 物 。 于 是 病毒 便 趁 此 
机 会 一 次 次 调用 该 功能 。 预 防 这 种 病毒 的 唯一 办 法 就 是 打印 机 不 用 时 就 关 掉 。 其 实 只 要 经 
常 注意 打印 机 上 的 模式 灯 就 可 以 了 ， 清 洗 喷 头 时 它 通常 是 一 闪 一 闪 的 。 另 外 ， 还 要 仔细 倾 
听 它 的 声音 ， 清 洗 喷 头 时 打印 头 为 了 加 热 总 是 来 回 走 动 几 下 。 

(17) 系统 文件 的 时 间 、 日 期 、 大 小 发 生变 化 。 这 是 最 明显 的 计算 机 病毒 感染 迹象 。 计 
算 机 病毒 感染 应 用 程序 文件 后 ， 会 将 自身 隐藏 在 原始 文件 的 后 面 ， 文 件 大 小 会 有 所 增加 ， 
文件 的 访问 、 修 改 日 期 和 时 间 也 会 被 改 为 感染 时 的 时 间 。 

(18) Word 文档 打开 后 ， 该 文件 另存 时 只 能 以 模板 方式 保存 。 这 往往 是 打开 的 Word 文 
档 中 感染 了 Word 宏 病 毒 的 缘故 。 

(19) 磁盘 空间 迅速 减少 。 这 可 能 是 由 计算 机 病毒 感染 造成 的 。 经 常 浏览 网 页 、 回 收 站 
中 的 文件 过 多 、 临 时 文件 夹 中 的 文件 数量 过 多 过 大 、 计 算 机 系统 有 过 意外 断 电 等 情况 也 可 
能 会 造成 可 用 的 磁盘 空间 迅速 减少 。 另 一 种 情况 是 在 Windows 95/98 下 内 存 交 换文 件 会 随 
着 应 用 程序 运行 的 时 间 和 进程 的 数量 增加 而 增长 ， 同 时 ， 运 行 的 应 用 程序 数量 越 多 ， 内 存 
交换 文件 就 越 大 。 

(20) 网 络 驱 动 器 卷 或 共享 目录 无 法 调用 。 对 于 有 读 权限 的 网 络 驱动 器 卷 、 共 享 目录 等 
无 法 打开 、 浏 览 ， 或 者 对 有 写 权 限 的 网 络 驱动 器 卷 、 共 享 目录 等 无 法 创建 、 修 改 文件 。 虽 
然 目前 很 少 有 纯粹 针对 网 络 驱动 器 卷 和 共享 目录 的 计算 机 病毒 ， 但 计算 机 病毒 的 某 些 行为 
可 能 会 影响 对 网 络 驱动 器 卷 和 共享 目录 的 正常 访问 。 


(21) 基本 内 存 发 生变 化 。 在 DOS 下 用 mem/c/p 命令 查看 系统 中 内 存 使 用 状况 时 ,发现 
基本 内 存 总 字 节 数 比 正常 的 640KB 要 小 ， 一 般 少 1~2KB。 这 通常 是 由 于 计算 机 系统 感染 
了 引导 型 计算 机 病毒 所 造成 的 。 

(22) 陌生 人 发 来 的 电子 邮件 。 

(23) 自动 链接 到 一 些 陌 生 的 网 站 。 


5.4 反 病 毒 技术 


网 络 反 病毒 技术 包括 预防 病毒 、 检 测 病毒 和 杀毒 等 3 种 技术 。 

(1) 预防 病毒 技术 。 它 通过 自身 常 驻 系统 内 存 ， 优 先 获得 系统 的 控制 权 ， 监 视 和 判断 
系统 中 是 否 有 病毒 存在 ， 进 而 阻止 计算 机 病毒 进入 计算 机 系统 和 对 系统 进行 破坏 。 

(2) 检测 病毒 技术 。 它 是 通过 病毒 的 特征 来 判断 病毒 行为 、 类 型 等 的 技术 。 

(3) 杀毒 技术 。 它 通过 对 计算 机 病毒 的 分 析 ， 开 发 出 具有 删除 病毒 程序 并 恢复 源 文件 
的 软件 。 

病毒 的 繁衍 方式 、 传 播 方式 不 断 地 变化 ， 反 病毒 技术 也 应 该 在 与 病毒 对 抗 的 同时 不 断 
推陈出新 。“ 预 防 为 主 ， 治 疗 为 辅 ” 这 一 方针 也 完全 适用 于 计算 机 病毒 的 处 理 。 


5.4.1 ”预防 病毒 技术 


防治 感染 病毒 主要 有 两 种 手段 : 一 种 是 用 户 遵守 和 加 强 安全 操作 控制 措施 ， 在 思想 上 
要 重视 病毒 可 能 造成 的 危害 ; 另 一 种 是 在 安全 操作 的 基础 上 ， 使 用 硬件 和 软件 防 病毒 工具 ， 
利用 网 络 的 优势 ， 把 防 病毒 纳入 到 网 络 安全 体系 之 中 ， 形 成 一 套 完整 的 安全 机 制 ， 使 病毒 
无 法 逾越 计算 机 安全 保护 的 屏障 ， 病 毒 便 无 法 广泛 传播 。 实 践 证 明 ， 通 过 这 些 防 护 措施 和 
手段 ， 可 以 有 效 地 降低 计算 机 系统 被 病毒 感染 的 概率 ， 保 障 系统 的 安全 、 稳 定 运行 。 

1. 病毒 预防 


对 病毒 的 预防 在 病毒 防治 工作 中 起 主导 作用 。 病 毒 预 防 是 一 个 主动 的 过 程 ， 不 是 针对 
某 一 种 病毒 ， 而 是 针对 病毒 可 能 入 侵 的 系统 薄弱 环节 加 以 保护 和 监控 。 而 病毒 治疗 属于 一 
个 被 动 的 过 程 ， 只 有 在 发 现 一 种 病毒 进行 研究 以 后 ， 才 能 找到 相应 的 治疗 方法 ， 这 也 是 杀 
毒 软件 总 是 落后 于 病毒 软件 的 原因 。 所 以 ， 病 毒 的 防治 重点 应 放 在 预防 上 。 

预防 计算 机 病毒 要 从 以 下 几 个 方面 着 手 。 

1) “检查 外 来 文件 

对 从 网 络 上 下 载 的 程序 和 文档 应 十 分 小 心 。 在 执行 文件 或 打开 文档 之 前 ， 检 查 是 否 有 
病毒 。 使 用 抗 病毒 软件 动态 检测 来 自 互联 网 ( 含 E-maiD 的 所 有 文件 。 电 子 邮 件 的 附件 必须 检 
查 病 毒 后 再 打开 ， 并 在 发 送 邮件 之 前 检查 病毒 。 从 外 部 取得 的 光盘 及 下 载 的 文档 ， 应 检查 
病毒 后 再 使 用 。 压 缩 后 的 文件 应 解压 缩 后 检查 病毒 。 

2) ”局 域 网 预防 

为 减少 服务 器 上 文件 感染 的 危险 ， 网 络 管理 员 应 使 用 以 下 一 些 网 络 安全 措施 。 

(1) 用 户 访问 约束 ， 对 可 执行 文件 设置 “read-only” 或 “execute only” 权 限 。 

(2) 使 用 抗 病毒 软件 动态 检查 使 用 的 文件 。 
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(3) 用 抗 病毒 软件 经 常 扫描 服务 器 ， 及 时 发 现 问题 和 解决 问题 。 

(4) 使 用 无 盘 工 作 站 可 以 降低 计算 机 网 络 感染 的 风险 。 

在 网 络 上 运行 一 个 新 软件 之 前 ， 断 开 网 络 ， 在 单独 的 计算 机 上 运行 测试 ， 如 果 确 认 没 
有 病毒 ， 再 到 网 络 上 运行 。 

3) ”购买 正版 软件 

购买 或 复制 正版 软件 ， 可 以 降低 感染 的 风险 。 另 外 ， 到 可 信赖 的 站 点 下 载 资源 。 但 如 
何 确定 一 个 站 点 是 安全 的 ， 目 前 还 没有 有 效 的 方法 。 

4) ”小心 运 行 可 执行 文件 

即使 该 文件 是 从 文件 服务 器 上 下 载 的 ， 也 不 要 运行 没有 确认 的 文件 。 使 用 从 可 靠 站 点 
下 载 的 程序 ， 同 时 用 抗 病毒 软件 进行 检测 。 如 果 该 文件 是 从 BBS 或 新 闻 组 下 载 的 ， 也 不 要 
匆忙 运行 。 等 一 段 时 间 ， 看 有 没有 该 类 文件 含 病毒 的 报道 。 

使 用 一 些 能 够 驻 留 内 存 的 防 病毒 软件 ， 一 旦 被 感染 的 文件 执行 ， 抗 病毒 软件 会 检测 到 
该 病毒 ， 并 阻止 其 继续 运行 。 

5) ”使 用 确认 和 数据 完整 性 工具 

这 些 工具 保存 磁盘 系统 区 的 数据 和 文件 信息 ( 校 验 和 、 大 小 、 属 性 、 最 近 修 改 时 间 等 )。 
周期 性 地 比较 这 些 信息 , 发 现 不 一 致 , 则 可 能 存在 病毒 或 者 木马 。 经 常 使 用 MEM、CHKDSK 
及 PCTOOLS 等 工具 检查 内 存 的 使 用 情况 。 若 基本 内 存 少 于 640KB， 则 有 中 毒 的 可 能 。 

6) 周期 性 备份 工作 文件 

备份 源 代码 文件 、 数据库 文件 和 文档 文件 等 的 开销 远 小 于 病毒 感染 后 恢复 它们 的 开销 。 

7) ”留心 计算 机 出 现 的 异常 

计算 机 异常 包括 操作 突然 中 止 、 系 统 无 法 启动 、 文 件 消失 、 文 件 属性 自动 变更 、 程 序 
大 小 和 时 间 出 现 异常 、 非 使 用 者 意图 的 计算 机 自行 操作 、 计 算 机 有 不 明 音 乐 传 出 或 死机 ， 
硬盘 的 指示 灯 持 续 闪 烁 、 系 统 的 运行 速度 明显 变 慢 及 上 网 速度 缓慢 等 。 当 发 现 硬盘 资料 已 
遭 到 破坏 时 ， 不 必 急 忙 格式 化 硬盘 ， 因 病毒 不 可 能 在 短 时 间 内 将 全 部 硬盘 资料 破坏 ， 故 可 
利用 灾后 重建 的 解毒 程序 加 以 分 析 ， 重 建 受 损 扇 区 。 

8) ”及 时 升级 抗 病毒 工具 的 病毒 特征 库 和 有 关 的 杀毒 引擎 

升级 工作 应 形成 一 种 制度 ， 制 定 升 级 周期 。 利 用 安全 扫描 工具 定时 扫描 系统 和 主机 。 
若 发 现 漏洞 ， 及 时 寻找 解决 方案 ， 从 而 减少 被 病毒 和 蠕虫 感染 的 机 会 。 

9) ”建立 健全 网 络 系统 安全 管理 制度 ， 严 格 操作 规程 和 规章 制度 

管理 好 共享 的 个 人 计算 机 ， 确 认 何 人 、 何 时 作 何 使 用 等 。 在 整个 网 络 中 采用 抗 病毒 的 
纵深 防御 策略 ， 建 立 病毒 防火 墙 ， 在 局 域 网 和 Internet 以 及 用 户 和 网 络 之 间 进 行 隔离 。 

此 外 ， 还 有 其 他 的 预防 措施 ， 如 不 需要 每 次 从 软盘 启动 ， 不 要 依赖 于 BIOS 内 置 的 病 
毒 防护 ， 不 要 过 分 相信 文档 编辑 器 内 置 的 宏 病 毒 保护 等 。 

当 使 用 一 种 能 查 能 杀 的 抗 病毒 软件 时 ， 最 好 是 先 查 毒 ， 找 到 带 毒 文件 后 ， 再 确定 是 否 
进行 杀毒 操作 。 因 为 查 毒 不 是 危险 操作 ， 它 可 能 产生 误 报 ， 但 绝 不 会 对 系统 造成 任何 损坏 ; 
而 杀毒 是 危险 操作 ， 有 可 能 破坏 程序 。 


2. 网 络 病毒 的 防治 


ID) “基于 工作 站 的 防治 方法 
工作 站 是 网 络 的 门 ， 只 要 将 这 扇 门 关 好 ， 就 能 有 效 地 防止 病毒 的 入 侵 。 单 机 反 病 毒手 
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段 ， 如 单机 反 病 毒 软件 、 防 病毒 卡 等 同样 可 保护 工作 站 的 内 存 和 硬盘 ， 因 而 这 些 手 段 在 网 
络 反 病毒 大 战 中 仍然 大 有 用 武之 地 ， 在 一 定 程度 上 可 以 有 效 阻 止 病毒 在 网 络 中 的 传播 。 

由 于 受 硬件 防毒 技术 的 影响 , 反 病毒 专家 还 推出 了 另 一 种 基于 工作 站 的 病毒 防治 方法 ， 
这 就 是 工作 站 病毒 防护 芯片 。 

这 种 方法 是 将 防 病毒 功能 集成 在 一 个 芯片 上 ， 安 装 于 网 络 工作 站 ， 以 便 经 常 性 地 保护 
工作 站 及 其 通 往 服务 器 的 途径 ， 其 基本 原理 是 基于 网 络 上 的 每 个 工作 站 都 要 求 安装 网 络 接 
口 卡 ， 而 网 络 接口 上 有 一 个 BootROM 芯片 ， 因 为 多 数 网 卡 的 Boot ROM 并 没有 充分 利用 ， 
都 会 剩余 一 些 使 用 空间 ， 所 以 如 果 防 毒 程序 够 小 ,就 可 以 安装 在 BootROM 的 剩余 空间 内 ， 
而 不 必 另 播 一 块 芯片 。 这 样 ， 将 工作 站 存 取 控 制 与 病毒 保护 能 力 合 二 为 一 ， 从 而 免 去 许多 
烦琐 的 管理 工作 。 

市 场 上 Chipway 防毒 芯片 就 是 采用 这 种 网 络 防毒 技术 的 。 在 工作 站 DOS 引导 过 程 中 ， 
ROMBIOS、Extended BIOS 装 入 后 ，Partition Tab 装 入 前 ，Chipway 将 会 获得 控制 权 ， 这 样 
可 以 防止 引导 型 病毒 入 侵 。 

Chipway 特点 如 下 。 

(1) 不 占 主 板 插 槽 ， 避 免 了 冲突 。 

(2) 遵循 网 络 上 国际 标准 。 

(3) 具有 其 他 工作 站 的 防毒 产品 的 优点 。 

2) ”基于 服务 器 的 防治 方法 

服务 器 是 网 络 的 核心 ， 一 旦 服务 器 被 病毒 感染 ， 就 会 使 整个 网 络 陷于 瘫痪 。 目 前 ， 基 
于 服务 器 的 防治 病毒 方法 大 都 采用 了 以 NLM(Netware Loadable Module， 可 装载 模块 ) 技 术 
进行 程序 设计 ， 以 服务 器 为 基础 ， 提 供 实 时 扫描 病毒 能 力 。 

市 场 上 较 有 代表 性 的 产品 如 Intel 公司 的 LANdesk Virus Protect、Symantec 公司 的 Center 
PointAnti-Virus、S&SSoftware International 公司 的 Dr Solomon's Anti-Virus Toolkit， 以 及 我 
国 北京 威 尔 德 计算 机 公司 的 LANClear For Netware 等 都 是 采用 了 以 服务 器 为 基础 的 防 病毒 
技术 。 这 些 产品 的 目的 都 是 保护 服务 器 ， 使 服务 器 不 被 感染 。 

基于 网 络 服务 器 的 实时 扫描 病毒 的 防护 技术 一 般 具 有 以 下 功能 。 

(1) 扫描 范围 广 。 采 用 此 技术 ， 可 随时 对 服务 器 中 的 所 有 文件 实施 扫描 ， 并 检查 其 是 
否 带 毒 。 若 有 带 毒 文件 ， 则 向 网 络 管理 员 提 供 几 种 处 理 方法 ， 人 允许 用 户 清除 病毒 ， 或 删除 
带 毒 文件 ， 或 更 改 带 毒 文件 名 成 为 不 可 执行 文件 名 ， 并 隔离 到 一 个 特定 的 病毒 文件 目录 。 

(2) 实时 在 线 扫描 。 网 络 病毒 技术 必须 保持 全 天 24h 监控 网 络 中 是 否 有 带 毒 文件 进入 
服务 器 。 为 保证 病毒 监测 的 实时 性 ， 通 常 采用 多 线索 的 设计 方法 ， 让 检测 程序 作为 一 个 可 
以 随时 激活 的 功能 模块 。 

(3) 服务 器 扫描 选择 。 该 功能 允许 网 络 管理 员 定期 检查 服务 器 中 是 否 带 毒 ， 例 如 可 按 
每 月 、 每 星期 、 每 天 集中 扫描 网 络 服务 器 。 

(4) 自动 报告 功能 及 病毒 存档 。 当 带 毒 文件 有 意 或 无 意 间 被 复制 到 服务 器 中 时 ， 网 络 
防 病毒 系统 必须 立即 通知 网 络 管理 员 ， 同 时 记 入 档案 。 病 毒 档案 一 般 包 括 病毒 类 型 、 病 毒 
名 称 、 带 毒 文件 所 存 的 目录 及 工作 站 标识 等 ， 另 外 还 登记 对 病毒 的 处 理 方法 。 

(5) 工作 站 扫描 。 考 虑 到 基于 服务 器 的 防 病毒 软件 不 能 保护 本 地 工作 站 硬盘 ， 有 效 方 
法 是 在 服务 器 上 安装 防毒 软件 ， 同 时 在 网 上 的 工作 站 内 存 中 调 入 常 驻 扫描 程序 ， 实 时 检测 
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在 工作 站 中 运行 的 程序 ， 如 LANdesk Virus Protect 采用 LPScan、LANClear For Netware 采 
用 World 程序 等 。 

(6) 对 用 户 开放 的 病毒 特征 接口 。 若 使 防 病毒 系统 能 对 付 不 断 出 现 的 新 病毒 ， 就 要 求 
开发 商 能 够 使 自己 的 产品 具有 自动 升级 功能 ， 其 典型 的 做 法 是 开放 病毒 特征 数据 库 。 用 户 
随时 将 遇 到 的 带 毒 文件 ， 经 过 病毒 特征 分 析 程序 ， 自 动 将 病毒 特征 加 入 特征 库 ， 以 随时 增 
强 抗 毒 能 力 。 

基于 网 络 服务 器 的 防治 病毒 方法 的 优点 主要 表现 在 不 占用 工作 站 的 内 存 ， 可 以 集中 扫 
毒 ， 能 实现 实时 扫描 功能 ， 以 及 软件 安装 和 升级 都 很 方便 等 。 特 别 是 联网 机 器 很 多 时 ， 利 
用 这 种 方法 比 为 每 台 工 作 站 都 安装 防 病毒 产品 要 节省 成 本 。 

病毒 的 入 侵 必 将 对 系统 资源 构成 威胁 ， 即 使 是 良性 病毒 也 要 侵吞 系统 的 宝贵 资源 ， 因 
此 防治 病毒 入 侵 要 比 病毒 入 侵 后 再 加 以 清除 重要 得 多 。 抗 病毒 技术 必须 建立 “预防 为 主 ， 
消灭 结合 ”的 基本 观念 。 


5.4.2 ”检测 病毒 技术 


要 判断 一 个 计算 机 系统 是 否 感染 病毒 ， 首 先 要 进行 病毒 检测 ， 检 测 到 病毒 的 存在 后 才 
能 对 病毒 进行 消除 和 预防 ， 所 以 病毒 的 检测 是 至 关 重要 的 。 通 过 检测 及 早 发 现 病毒 ， 并 及 
时 进行 处 理 ， 可 以 有 效 地 抑制 病毒 的 蔓延 ， 尽 可 能 地 减少 损失 。 

检测 计算 机 上 是 否 被 病毒 感染 ， 通 常 可 以 分 为 两 种 方法 ， 即 手工 检测 和 自动 检测 。 

(1) 手工 检测 是 指 通 过 一 些 工具 软件 ,如 Debug.com、Pctools.exe、Nu.com 和 Sysinfo.exe 
等 进行 病毒 的 检测 。 其 基本 过 程 是 利用 这 些 工具 软件 ， 对 易 遭 病毒 攻击 和 修改 的 内 存 及 磁 
盘 的 相关 部 分 进行 检测 ， 通 过 与 正常 情况 下 的 状态 进行 对 比 来 判断 是 否 被 病毒 感染 。 这 种 
方法 要 求 检测 者 熟悉 计算 机 指令 和 操作 系统 ， 操 作 比 较 复杂 ， 容 易 出 错 且 效 率 较 低 ， 适 合 
计算 机 专业 人 员 使 用 ， 因 而 无 法 普及 。 但 是 ， 使 用 该 方法 可 以 检测 和 识别 未 知 的 病毒 ， 以 
及 检测 一 些 自动 检测 工具 不 能 识别 的 新 病毒 。 

(2) 自动 检测 是 指 通过 一 些 诊断 软件 和 杀毒 软件 ， 来 判断 一 个 系统 或 磁盘 是 否 有 毒 ， 
如 使 用 瑞星 、 金 山 毒霸 、 江 民 杀 毒 软 件 等 。 该 方法 可 以 方便 地 检测 大 量 病毒 ， 且 操作 简单 ， 
一 般 用 户 都 可 以 操作 。 但 是 ， 自 动 检测 工具 只 能 识别 已 知 的 病毒 ， 而 且 它 的 发 展 总 是 滞后 
于 病毒 的 发 展 ， 所 以 自动 检测 工具 总 是 对 相对 数量 的 病毒 不 能 识别 。 

对 病毒 进行 检测 可 以 采用 手工 方法 和 自动 方法 相 结合 的 方式 。 检 测 病 毒 的 技术 和 方法 
主要 有 以 下 几 种 。 

1. 比较 法 


比较 法 是 将 原始 备份 与 被 检测 的 引导 扇 区 或 被 检测 的 文件 进行 比较 。 比 较 时 可 以 利用 
打印 的 代码 清单 (比如 Debug 的 D 命令 输出 格式 ) 进 行 比 较 ， 或 用 程序 来 进行 比较 (如 DOS 
的 DISKCOMP、FC 或 PCTOOLS 等 其 他 软件 )。 这 种 比较 法 不 需要 专门 的 查 杀 计算 机 病毒 
程序 ， 只 要 用 常规 DOS 软件 和 PCTOOLS 等 工具 软件 就 可 以 进行 。 而 且 用 这 种 比较 法 还 可 
以 发 现 那些 尚 不 能 被 现 有 的 查 毒 程序 发 现 的 计算 机 病毒 。 因 为 计算 机 病毒 传播 得 很 快 ， 新 
的 计算 机 病毒 层出不穷 ， 而 且 目 前 还 没有 研究 出 通用 的 能 查 出 一 切 计算 机 病毒 ， 或 通过 代 
码 分 析 可 以 判定 某 个 程序 中 是 否 含有 计算 机 病毒 的 查 毒 程 序 ， 发 现 新 计算 机 病毒 就 只 能 依 
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靠 比较 法 和 分 析 法 ， 有 时 必须 将 二 者 结合 起 来 一 同 使 用 。 

使 用 比较 法 能 发 现 异常 ， 如 文件 长 度 改 变 ， 或 虽然 文件 长 度 未 发 生变 化 ， 但 文件 内 的 
程序 代码 发 生 了 变化 。 对 硬盘 主 引导 扇 区 或 对 DOS 的 引导 扇 区 做 检查 ， 比 较 法 能 发 现 其 中 
的 程序 代码 是 否 发 生 了 变化 。 由 于 要 进行 比较 ， 保 存 好 原始 备份 是 非常 重要 的 ， 制 作 备份 
时 必须 在 无 计算 机 病毒 的 环境 下 进行 ， 制 作 好 的 备份 必须 妥善 保管 ， 贴 上 标签 ， 并 加 上 写 
保护 。 

比较 法 的 优点 是 简单 、 方 便 ， 不 需要 专用 软件 。 缺 点 是 无 法 确认 计算 机 病毒 的 种 类 和 
名 称 。 另 外 ， 造 成 被 检测 程序 与 原始 备份 之 间 差别 的 原因 尚 需 进一步 验证 ， 以 查 明 是 由 于 
计算 机 病毒 造成 的 ， 还 是 由 于 DOS 数据 被 偶然 原因 ， 如 突然 停电 、 程 序 失控 、 亚 意 程序 等 
破坏 的 。 此 外 ， 当 找 不 到 原始 备份 时 ， 用 比较 法 也 不 能 马上 得 到 结论 。 因 此 制作 和 保留 原 
始 主 引导 扇 区 和 其 他 数据 备份 是 至 关 重 要 的 。 


2. 特征 代码 法 


特征 代码 法 是 用 每 一 种 计算 机 病毒 体 含 有 的 特定 字符 串 对 被 检测 的 对 象 进行 扫描 。 如 
果 在 被 检测 对 象 内 部 发 现 了 某 一 种 特定 字符 串 ， 就 表明 发 现 了 该 字符 串 所 代表 的 计算 机 病 
毒 ， 这 种 计算 机 病毒 扫描 软件 称 为 Virus Scanner。 

计算 机 病毒 扫描 软件 由 两 部 分 组 成 : 一 部 分 是 计算 机 病毒 代码 库 ， 含 有 经 过 特别 选 定 
的 各 种 计算 机 病毒 的 代码 串 ;， 另 一 部 分 是 利用 该 代码 库 进行 扫描 的 程序 ， 目 前 常见 的 对 已 
知 计算 机 病毒 进行 检测 的 软件 大 多 采用 这 种 方法 。 计 算 机 病毒 扫描 程序 能 识别 的 计算 机 病 
毒 的 数目 完全 取决 于 病毒 代码 库 内 所 含 病毒 的 种 类 多 少 。 显 然 ， 库 中 病毒 代码 种 类 越 多 ， 
扫描 程序 能 识别 的 计算 机 病毒 就 越 多 。 

计算 机 病毒 代码 串 的 选择 是 非常 重要 的 。 如 果 随 意 从 计算 机 病毒 体内 选 一 段 作为 代表 
该 计算 机 病毒 的 特征 代码 串 ， 由 于 在 不 同 的 环境 中 ， 该 特征 串 可 能 并 不 真正 具有 代表 性 ， 
因而 ， 选 这 种 串 作 为 计算 机 病毒 代码 库 的 特征 串 是 不 合适 的 。 

另 一 种 情况 是 ， 代 码 串 不 应 含有 计算 机 病毒 的 数据 区 ， 因 为 数据 区 是 会 经 常 变化 的 。 
代码 串 一 定 要 在 仔细 分 析 程序 之 后 选 出 最 具 代 表 特 性 的 ， 足 以 将 该 计算 机 病毒 区 别 于 其 他 
计算 机 病毒 的 字符 串 。 一 般 情 况 下 ， 代 码 串 由 连续 的 若干 个 字 节 组 成 ， 但 是 有 些 扫 描 软件 
采用 的 是 可 变 长 串 ， 即 在 串 中 包含 有 一 个 到 几 个 模糊 字 节 。 扫 描 软件 遇 到 这 种 串 时 ， 只 要 
使 除 模糊 字 节 之 外 的 字符 串 都 能 完全 匹配 ， 就 能 判别 出 计算 机 病毒 。 

除了 前 面 提 到 的 特征 串 的 规则 外 ， 最 重要 的 一 条 是 特征 串 必 须 能 将 计算 机 病毒 与 正常 
的 非 计 算 机 病毒 程序 区 分 开 。 如 果 将 非 计 算 机 病毒 程序 当成 计算 机 病毒 报告 给 用 户 ， 是 假 
警报 ， 就 会 使 用 户 放 松 警惕 ， 若 真 的 计算 机 病毒 一 来 ， 破 坏 就 严重 了 ， 而 且 ， 若 将 假 警 报 
送 给 防 杀 计 算 机 病毒 的 程序 ， 会 将 正常 程序 “ 杀 死 ”。 

采用 病毒 特征 代码 法 的 检测 工具 ， 面 对 不 断 出 现 的 新 病毒 ， 必 须 不 断 更 新 版 本 ， 否 则 
检测 工具 会 老化 ， 逐 渐 失 去 实用 价值 。 病 毒 特征 代码 法 无 法 检测 新 出 现 的 病毒 。 

特征 代码 法 的 实现 步骤 如 下 。 

(1) 采集 已 知 病毒 样本 。 如 果 病 毒 既 感染 .com 文件 又 感染 .exe 文件 ， 则 要 同时 采集 
COM 型 病毒 样本 和 EXE 型 病毒 样本 。 

(2) 在 病毒 样本 中 抽取 特征 代码 ， 抽 取 的 代码 必须 比较 特殊 ， 不 大 可 能 与 普通 正常 程 


第 5 音 ， 计 算 机 病毒 防治 区 机 @@ 


序 代码 相 吻 合 。 抽 取 的 代码 要 有 适当 长 度 ， 一 方面 维持 特征 代码 的 唯一 性 ， 在 保持 唯一 性 
的 前 提 下 ， 尽 量 使 特征 代码 长 度 短 些 ， 以 减少 空间 与 时 间 开 销 。 在 既 感 染 .com 文件 又 感 
染 .exe 文件 的 病毒 样本 中 ， 要 抽取 两 种 样本 共有 的 代码 ， 并 将 特征 代码 纳入 病毒 数据 库 。 

(3) 打开 被 检测 文件 ， 在 文件 中 搜索 ， 检 查 文件 中 是 否 含 有 病毒 数据 库 中 的 病毒 特征 
代码 。 如 果 发 现 与 病毒 特征 代码 完全 匹配 的 字 串 符 ， 便 可 以 断定 被 查 文件 感染 何 种 病毒 。 

特征 代码 法 的 优点 是 检测 准确 快速 、 可 识别 病毒 的 名 称 、 误 报警 率 低 ， 依 据 检测 结果 
可 做 解毒 处 理 。 

特征 代码 法 的 缺点 是 不 能 检测 未 知 病毒 ， 且 搜集 已 知 病毒 的 特征 代码 费用 开销 大 ， 在 
网 络 上 效率 低 。 


3. 分 析 法 


分 析 法 是 防 杀 计 算 机 病毒 不 可 缺少 的 重要 技术 ， 任 何 一 个 性 能 优良 的 防 杀 计算 机 病毒 
系统 的 研制 和 开发 都 离 不 开 专门 人 员 对 各 种 计算 机 病毒 的 详尽 而 准确 的 分 析 。 

一 般 来 说 ， 使 用 分 析 法 的 人 是 防 杀 病 毒 的 技术 人 员 。 使 用 分 析 法 的 步骤 如 下 。 

(1) 确认 被 观察 的 磁盘 引导 扇 区 和 程序 中 是 否 含有 计算 机 病毒 。 

(2) 确认 计算 机 病毒 的 类 型 和 种 类 ， 判 定 其 是 否 是 一 种 新 的 计算 机 病毒 。 

(3) 弄 清 计算 机 病毒 体 的 大 臻 结构， 提取 用 于 特征 识别 的 字符 串 或 特征 字 ， 并 添加 到 
计算 机 病毒 代码 库 供 计算 机 病毒 扫描 和 识别 程序 使 用 。 

(4) 详细 分 析 计 算 机 病毒 代码 ， 为 制定 相应 的 防 杀 计算 机 病毒 措施 制订 方案 。 

使 用 分 析 法 要 求 具 有 比较 全 面 的 有 关 计 算 机 、DOS、Windows、 网 络 等 的 结构 和 功能 
调用 ， 以 及 与 计算 机 病毒 相关 的 各 种 知识 ， 这 是 与 其 他 检测 计算 机 病毒 方法 的 不 同 之 处 。 

此 外 ， 还 需要 反 汇 编 工具 、 二 进 制 文件 编辑 器 等 用 于 分 析 的 工具 程序 和 专用 的 试验 计 
算 机 。 因 为 即使 是 很 熟练 的 防 杀 计算 机 病毒 技术 人 员 ， 使 用 性 能 完善 的 分 析 软 件 ， 也 不 能 
保证 在 短 时 间 内 将 计算 机 病毒 代码 完全 分 析 清楚 。 而 计算 机 病毒 有 可 能 在 分 析 阶 段 继 续 传 
染 甚 至 发 作 ， 把 软盘 、 硬 盘 内 的 数据 完全 毁坏 ， 这 就 要 求 分 析 工 作 必 须 在 专门 设立 的 试验 
计算 机 上 进行 。 在 不 具备 条 件 的 情况 下 ， 不 要 轻易 开始 分 析 工 作 ， 很 多 计算 机 病毒 采用 了 
自 加 密 、 反 跟踪 等 技术 ， 使 得 分 析 计 算 机 病毒 的 工作 经 常 是 元 长 和 枯燥 的 。 特 别 是 某 些 文 
件 型 计算 机 病毒 的 代码 长 度 可 达 10KB 以 上 ， 并 与 系统 的 层次 关联 ， 使 详细 的 剖析 工作 十 
分 复杂 。 

分 析 的 步 又 分 为 静态 分 析 和 动态 分 析 两 种 。 静 态 分 析 是 指 利用 反 汇编 工具 将 计算 机 病 
毒 代码 打印 成 反 汇编 指令 程序 清单 后 进行 分 析 ， 以 便 了 解 计算 机 病毒 分 成 哪些 模块 ， 使 用 
了 哪些 系统 调用 ， 采 用 了 哪些 技巧 ， 并 将 计算 机 病毒 感染 文件 的 过 程 翻转 为 清除 该 计算 机 
病毒 、 修 复 文件 的 过 程 。 分 析 人 员 的 素质 越 高 ， 分 析 过 程 越 快 、 理 解 越 深 。 动 态 分 析 则 是 
指 利用 Debug 等 调试 工具 在 内 存 带 毒 的 情况 下 ， 对 计算 机 病毒 做 动态 跟踪 ， 观 察 计 算 机 病 
毒 的 具体 工作 过 程 ， 以 进一步 在 静态 分 析 的 基础 上 理解 计算 机 病毒 的 工作 原理 。 在 计算 机 
病毒 编码 比较 简单 的 情况 下 ， 动 态 分 析 不 是 必需 的 。 但 当 计 算 机 病毒 采用 了 较 多 的 技术 手 
段 时 ， 必 须 使 用 动 、 静 相 结合 的 分 析 方 法 完成 整个 分 析 过 程 。 

4. 校 验 和 法 

计算 正常 文件 的 校 验 和 ， 并 将 结果 写 入 此 文件 或 其 他 文件 中 保存 。 在 文件 使 用 过 程 中 


@_ 


或 使 用 之 前 ， 定 期 检查 文件 的 校 验 和 与 原来 保存 的 校 验 和 是 否 一 致 ， 从 而 可 以 发 现 文件 是 
否 被 感染 ， 这 种 方法 称 为 校 验 和 法 。 在 SCAN 和 CPAYV 工具 的 后 期 版 本 中 除了 病毒 特征 代 
码 法 外 ， 还 纳入 校 验 和 法 ， 以 提高 其 检测 能 力 。 

利用 这 种 方法 既 能 发 现 已 知 病毒 ， 也 能 发 现 未 知 病毒 ， 但 是 ， 它 不 能 识别 病毒 类 ， 不 
能 报 出 病毒 名 称 。 由 于 病毒 感染 并 非 文件 内 容 改 变 的 唯一 原因 ， 文 件 内 容 的 改变 有 可 能 是 
正常 程序 引起 的 ， 所 以 校 验 和 法 经 常 产 生 误 报警 ， 而 且 会 影响 文件 的 运行 速度 。 

运用 校 验 和 法 查 杀 病毒 采用 以 下 3 种 方式 。 

(1) 在 检测 病毒 工具 中 纳入 校 验 和 法 ， 对 被 查 文件 计算 其 正常 状态 的 校 验 和 ， 将 校 验 


| 和 值 写 入 被 查 文件 中 或 检测 工具 中 ， 而 后 进行 比较 。 


(2) 在 应 用 程序 中 ， 放 入 校 验 和 法 自我 检查 功能 ， 将 文件 正常 状态 的 校 验 和 写 入 文件 
中 ， 每 当 应 用 程序 被 启动 时 ， 比 较 现 行 校 验 和 与 原 校 验 和 值 ， 实 现 应 用 程序 的 自 检测 。 

(3) 将 校 验 和 检查 程序 常 驻 内 存 ， 每 当 启 动 应 用 程序 时 ， 自 动 比较 应 用 程序 内 部 或 其 
他 文件 中 预先 保存 的 校 验 和 。 

校 验 和 法 的 优点 是 方法 简单 ， 能 发 现 未 知 病毒 ， 也 能 发 现 被 查 文 件 的 细微 变化 。 缺 点 
是 会 误 报警 ， 不 能 识别 病毒 名 称 ， 不 能 对 付 隐蔽 型 病毒 。 

5. 行为 监测 法 

利用 病毒 的 特有 行为 特征 来 监测 病毒 的 方法 ， 称 为 行为 监测 法 。 病 毒 具 有 某 些 共同 行 
为 ， 而 且 这 些 行 为 比较 特殊 。 在 正常 程序 中 ， 这 些 行 为 比较 罕见 。 当 程序 运行 时 ， 监 视 其 
行为 ， 如 果 发 现 病毒 行为 则 立即 报警 。 

监测 病毒 的 行为 特征 如 下 。 

(1) 占有 INT13H 所 有 的 引导 型 病毒 ， 都 攻击 Boot 扇 区 或 主 引导 扇 区 。 系 统 启动 后 ， 
当 Boot 扇 区 或 主 引 导 扇 区 获得 执行 权时 ， 一 般 引 导 型 病毒 都 会 占用 INT13H 功能 ， 并 在 其 
中 放置 病毒 所 需 的 代码 。 

(2) 修改 DOS 系统 数据 区 的 内 存 总 量 。 病 毒 常 驻 内 存 后 ， 为 防止 DOS 系统 将 其 覆盖 ， 
必须 修改 系统 内 存 总 量 。 

(3) 对 .com、.exe 文件 做 写 入 操作 。 病 毒 要 感染 ， 必 须 写 .com、.exe 文件 。 

(4) 病毒 程序 与 宿主 程序 进行 切换 。 染 毒 程序 在 运行 过 程 中 ， 先 运行 病毒 ， 而 后 执行 
宿主 程序 。 在 两 者 切换 时 有 许多 特征 行为 。 

行为 监测 法 的 优点 是 可 发 现 未 知 病毒 ， 能 够 相当 准确 地 预报 未 知 的 多 数 病毒 。 


6. 软件 仿真 扫描 法 


该 技术 专门 用 于 对 付 多 态 性 计算 机 病毒 。 多 态 性 计算 机 病毒 在 每 次 传染 时 ， 都 将 自身 
以 不 同 的 随机 数 加 密 于 每 个 感染 的 文件 中 ， 传 统 的 特征 代码 法 根本 无 法 找到 这 种 计算 机 病 
毒 。 因 为 多 态 性 病毒 代码 实施 密码 化 ， 而 且 每 次 所 用 密 钥 不 同 ， 即 使 把 染 毒 的 病毒 代码 相 
互 比较 ， 也 无 法 找 出 相同 的 可 能 作为 特征 的 稳定 代码 。 虽 然 行为 监测 法 可 以 检测 多 态 性 病 
毒 ， 但 是 在 检测 出 病毒 后 ， 因 为 不 能 判断 病毒 的 种 类 ， 所 以 难以 做 进一步 处 理 。 软 件 仿真 
技术 则 能 成 功 地 仿真 CPU 执行 ， 在 DOS 虚拟 机 下 伪 执 行 计 算 机 病毒 程序 ， 安 全 地 将 其 解 
密 ， 然 后 再 进行 扫描 。 


第 5 音 ， 计 算 机 病毒 防治 区 机 @@ 


7. 先知 扫描 法 


先知 扫描 技术 是 继 软 件 仿真 后 的 又 一 大 技术 突破 。 既 然 软件 仿真 可 以 建立 一 个 保护 模 
式 下 的 DOS 虚拟 机 ， 仿 真 CPU 动作 并 伪 执 行程 序 以 解 开 多 态 变形 计算 机 病毒 ， 那 么 与 应 
用 类 似 的 技术 也 可 以 用 于 分 析 一 般 程序 ， 检 查 可 疑 的 计算 机 病毒 代码 。 先 知 扫描 技术 就 是 
将 专业 人 员 用 来 判断 程序 是 否 存在 计算 机 病毒 代码 的 方法 , 分 析 归 纳 成 专家 系统 和 知识 库 ， 
再 利用 软件 仿真 技术 伪 执 行 新 的 计算 机 病毒 ， 超 前 分 析出 新 计算 机 病毒 代码 ， 用 于 对 付 以 
后 的 计算 机 病毒 。 


8. 人 工 智 能 陷阱 技术 和 宏 病 毒 陷阱 技术 


人 工 智能 陷阱 是 一 种 监测 计算 机 行为 的 常 驻 式 扫描 技术 。 它 将 所 有 计算 机 病毒 所 产生 
的 行为 归纳 起 来 ， 一 旦 发 现 内 存 中 的 程序 有 任何 不 当 的 行为 ， 系 统 就 会 有 所 警觉 ， 并 告知 
使 用 者 。 这 种 技术 的 优点 是 执行 速度 快 、 操 作 简便 ， 且 可 以 检测 到 各 种 计算 机 病毒 ， 其 缺 
点 是 程序 设计 难度 大 ， 且 不 容易 考虑 周全 。 在 这 千变万化 的 计算 机 病毒 世界 中 ， 人 工 智能 
陷阱 扫描 技术 是 具有 主动 保护 功能 的 新 技术 。 

宏 病 毒 陷阱 技术 则 是 结合 了 特征 代码 法 和 人 工 智能 陷阱 技术 ， 根 据 行为 模式 来 检测 已 
知 及 未 知 的 宏 病毒 。 其 中 ， 配 合 OLE2 技术 ， 可 将 宏 与 文件 分 开 ， 使 得 扫描 速度 加 快 ， 而 
且 能 更 有 效 地 彻底 清除 宏 病毒 。 


9. 实时 1/O 扫描 


实时 IO 扫描 的 目的 在 于 即时 对 计算 机 上 的 输入 /输出 数据 作 病 毒 码 比 对 ， 希 望 能 够 在 
病毒 尚未 被 执行 之 前 ， 将 病毒 防御 于 门 外 。 理 论 上 ， 这 样 的 实时 扫描 技术 会 影响 到 数据 的 
输入 /输出 速度 。 其 实 不 然 ， 在 文件 输入 之 后 ， 就 等 于 扫 过 一 次 毒 了 。 如 果 扫 描 速度 能 够 提 
高 很 多 ， 这 种 方法 确实 能 对 数据 起 到 一 个 很 好 的 保护 作用 。 


10. 网 络 病毒 检测 技术 


随 着 Internet 在 全 世界 的 广泛 普及 , 网 络 已 成 为 病毒 传播 的 新 途径 , 网 络 病毒 也 成 为 黑 
客 对 用 户 或 系统 进行 攻击 的 有 效 工 具 ， 所 以 有 效 地 检测 网 络 病毒 已 经 成 为 病毒 检测 的 最 重 
要 部 分 。 

网 络 监测 法 是 一 种 检查 、 发 现 网 络 病毒 的 方法 。 根 据 网 络 病毒 主要 通过 网 络 传播 的 特 
点 ， 感 染 网 络 病毒 的 计算 机 一 般 会 发 送 大 量 的 数据 包 ， 产 生 突 发 的 网 络 流量 ， 有 的 还 开放 
固定 的 TCP/IP 端口 。 用 户 可 以 通过 流量 监视 、 端 口 扫描 和 网 络 监 听 来 发 现 病毒 ， 这 种 方法 
对 查找 局 域 网 内 感染 网 络 病毒 的 计算 机 比较 有 效 。 

1) ”ActiveX 和 Java 病毒 

大 量 网 页 中 含有 ActiveX 控件 和 Java 小 程序 (Appleb, 它们 在 给 网 页 带 来 动画 和 立体 感 
效果 的 同时 ， 也 使 上 网 的 企业 和 个 人 用 户 面临 新 的 不 安全 因素 。 

由 于 内 存 和 带宽 的 限制 ， 用 户 下 载 网 页 中 的 ActiveX 控件 和 Java 小 程序 可 通过 对 本 地 
硬盘 的 访问 来 获得 大 量 本 地 程序 的 控制 权限 ， 以 节约 内 存 和 带宽 。 亚 意 代 码 开发 者 正 是 利 
用 这 个 漏洞 , 制造 出 恶意 的 ActiveX 控件 和 Java 程序 嵌入 在 Web 主页 ， 当 用 户 浏览 这 些 主 
页 时 ， 病 毒 便 驻 留 到 用 户 的 计算 机 中 ， 进 行 偷 宕 、 删 除 或 毁坏 文件 ， 以 及 其 他 一 些 恶 意 
活动 。 


符 在 上 面 提 到 的 两 种 新 的 病毒 携带 者 中 ，ActiveX 更 具 危害 性 ， 尤 其 是 它 的 早期 版 本 
机 | OLE( 对 象 链接 和 嵌入 )。ActiveX 能 直接 调用 任何 Windows 系统 函数 ，ActiveX 组 件 是 指 一 
些 可 执行 的 代码 如 .exe 和 .dll 文件 等 。ActiveX 主要 运行 在 下 上 ， 但 在 Netscape 上 通过 插 
信 | 件 也 能 运行 ActiveX。 
思 Java 小 程序 通常 存放 在 服务 器 端 ， 由 浏览 器 下 载 到 用 户主 机 ，Java 小 程序 的 代码 通过 
全 Java 虚拟 机 在 用 户主 机 上 运行 。 由 于 Java 虚拟 机 运行 的 跨 平 台 特 点 ，Java 小 程序 在 用 户主 
机 上 能 获得 对 各 种 操作 系统 函数 的 访问 ， 导 致 病毒 在 各 类 操作 系统 中 传播 。Java 小 程序 可 
以 被 附加 到 Web 主页 或 电子 邮件 中 ， 一 旦 主页 或 邮件 被 阅读 ， 将 自动 激活 Java 小 程序 。 
java.strangbrews 是 第 一 个 Java 小 程序 病毒 ， 当 它 获取 主机 控制 权 后 ， 以 本 地 程序 的 身份 执 
行 ， 感 染 其 他 class 文件 。 现 在 ， 各 种 浏览 器 (如 微软 的 正 和 Netscape 的 Navigator 等 ) 都 支 
持 ActiveX 和 Java， 这 为 病毒 的 传播 提供 了 新 的 手段 。 

JavaScript 是 Netscape 公司 继 Sun 的 Java 小 程序 之 后 推出 的 一 种 脚本 语言 。 它 不 仅 支 
持 Java 小 程序 ， 同 时 向 Web 作者 提供 一 种 嵌入 HTML 文档 进行 编程 的 、 基 于 对 象 的 脚本 
程序 设计 语言 ， 采 用 的 许多 结构 与 Java 小 程序 相似 。 由 于 JavaScript 可 以 从 用 户 的 浏览 器 
获取 对 主机 资源 的 使 用 权限 ， 所 以 JavaScript 也 是 病毒 传播 的 重要 手段 。 

2) ”邮件 病毒 

邮件 病毒 的 传播 方式 是 通过 邮件 中 的 附件 进行 的 。 这 时 附件 是 一 个 带 毒 文件 ， 如 Word 
宏 病 毒 。 病毒 的 制造 者 通常 以 极 具 诱 惑 力 的 标题 , 使 邮件 接收 者 点 击 携带 病毒 的 邮件 附件 。 
如 “ 爱 虫 ”病毒 以 “Ilove you” 作 为 邮件 标题 ， 以 情书 的 形式 诱骗 收 件 者 。 

3) ”基于 Web 的 防 病 毒 技术 

对 于 网 络 病毒 ， 如 ActiveX 和 Java 小 程序 ， 最 简单 的 防护 措施 是 在 浏览 器 中 禁止 这 些 
插件 ， 但 这 直接 影响 了 可 为 用 户 提供 的 服务 质量 。 而 最 有 效 的 方法 是 在 病毒 尚未 被 浏览 器 
获取 前 ， 在 TCP/IP 或 应 用 层 对 接收 的 信息 进行 扫描 ， 这 就 是 病毒 防火 墙 或 病毒 网 关 。 

传统 的 病毒 扫描 器 一 般 包 含 以 下 组 件 ， 即 病毒 搜索 引擎 、 病 毒 特 征 库 和 配置 管理 界面 。 

搜索 引擎 的 设计 是 提高 病毒 扫描 速度 的 关键 技术 。 为 提高 性 能 ， 病 毒 扫描 引擎 通常 利 
用 规则 和 模式 识别 技术 来 对 成 千 上 万 种 已 知 的 和 未 知 的 计算 机 病毒 进行 监测 ， 这 种 技术 能 
极 大 地 提高 效率 ， 节 省 系统 资源 。 

病毒 防火 墙 除了 含有 传统 病毒 扫描 器 中 的 组 件 外 ， 还 增加 了 一 些 新 的 组 件 ， 而 且 各 组 
件 通过 一 种 柔性 的 、 面 向 对 象 的 设计 原则 有 机 集成 在 一 起 。 

4) ”解压 缩 和 解码 

传统 的 病毒 搜索 引擎 一 般 是 在 数据 传输 的 末端 对 病毒 进行 扫描 和 处 理 ， 因 而 不 需要 强 
大 的 解压 缩 和 解密 功能 。 病 毒 防火 墙 的 病毒 搜索 引擎 也 能 在 数据 传输 中 捕获 病毒 ， 因 为 其 
中 嵌入 了 强大 的 实时 解压 缩 和 解密 模块 ， 它 们 能 理解 文件 格式 ,在 文件 从 服务 器 传输 到 PC 
的 过 程 中 ，“ 阅 读 ” 文 件 头 部 ， 以 判断 哪些 压缩 或 加 密 过 的 文件 可 能 含有 病毒 ， 然 后 只 对 
可 能 含有 病毒 的 文件 进行 解压 缩 或 解密 。 这 项 新 的 技术 并 没有 给 系统 资源 增添 负担 ， 因 而 
极 大 地 提高 了 病毒 扫描 的 效率 。 

5) ActiveX 和 Java 扫描 

病毒 防火 墙 的 ActiveX 和 Java 病毒 扫描 模块 中 , 通常 从 以 下 3 个 方面 实现 对 Web 信息 
中 的 恶意 代码 进行 检测 。 
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(1) 支持 “代码 认证 签名 ”。 病 毒 扫描 器 通过 将 Java 小 程序 和 ActiveX 对 象 与 “ 代 
码 认证 签名 库 ” 进 行 匹 配 ， 以 判断 Java 小 程序 和 ActiveX 对 象 是 否 来 自 于 在 传输 过 程 中 未 
被 算 改 的 可 信 源 。 

(2) 识别 Java 类 和 COM 指令 。 病 毒 扫描 器 能 扫描 Java 类 和 COM 指令 ， 通 过 将 这 些 
指令 与 已 知 的 “恶意 小 程序 模式 库 ” 匹 配 来 判断 哪些 Java 类 和 COM 指令 是 有 恶意 的 。 

(3) 基于 规则 的 扫描 技术 。 这 种 新 技术 使 病毒 扫描 器 能 创造 一 种 模拟 环境 来 分 析 Java 
小 程序 和 ActiveX 对 象 的 行为 。 扫 描 器 中 的 代理 把 自己 “寄生 ”在 Java 小 程序 上 ， 并 实时 
监测 小 程序 的 行为 ， 如 果 发 现 有 恶意 行为 ， 代 理 根 据 系统 管理 员 预 先 配置 的 指令 停止 恶意 
代码 的 执行 ， 并 向 服务 器 报警 。 

6) ”病毒 库 自动 升级 

在 病毒 防范 管理 中 ， 系 统管 理 员 遇 到 的 两 个 最 主要 的 问题 是 客户 端 软件 的 升级 和 病毒 
感染 源 的 跟踪 。 在 新 一 代 的 扫描 引擎 中 ， 一 些 防 病毒 生产 商 戏 入 了 具有 自我 管理 功能 的 通 
信 组 件 ， 它 知道 何 时 并 怎样 下 载 新 的 病毒 代码 文件 和 扫描 引擎 ， 并 在 没有 管理 员 干 涉 的 情 
况 下 为 用 户 进行 所 有 的 配置 和 分 发 工作 。 

这 种 通信 模块 具有 目录 意识 ， 它 能 嵌入 到 公司 的 目录 服务 中 去 ， 并 向 主机 发 送 病 毒 通 
知 和 采取 响应 。 例 如 ， 在 某 一 财务 部 门 发 现 了 一 种 病毒 ， 具 有 目录 意识 的 通信 模块 追查 出 
该 病毒 来 自 于 远方 办 公 地 点 的 一 封 E-mail 中 的 电子 表格 附件 ， 它 将 智能 化 地 通知 远方 办 公 
地 点 的 管理 员 、 邮 件 的 发 送 者 和 接收 者 。 

7) ” 防 邮件 病毒 技术 

传统 的 防 邮件 病毒 产品 运行 于 客户 端 ， 它 有 两 个 主要 缺点 : 一 是 只 能 查 杀 本 地 硬盘 上 
的 受 病毒 感染 的 文件 ， 而 真正 的 病毒 源 (位 于 邮件 服务 器 上 ) 并 没有 得 到 及 时 处 理 ， 如 果 服 
务 器 没有 受到 保护 ， 可 能 会 使 整个 企业 内 部 的 网 络 受到 病毒 的 攻击 ; 二 是 安装 在 PC 上 的 
防 病毒 软件 需要 不 断 升 级 ， 这 必然 浪费 大 量 的 时 间 和 资源 。 

邮件 病毒 的 搜索 引擎 软件 可 以 安装 在 专用 的 病毒 防火 墙 或 SMTP 邮件 服务 器 上 。 为 实 
现实 时 检测 ， 防 火 墙 必须 在 端口 25 实时 监测 流 经 防火 墙 的 SMTP 数据 流 ， 即 接收 所 有 的 
SMTP 报 文 ， 检 测 这 些 邮 件 是 否 有 病毒 ， 并 将 这 些 邮 件 转发 到 邮件 的 目的 服务 器 。 

与 Web 病毒 防火 墙 类 似 , 邮件 病毒 防火 墙 必须 支持 压缩 文件 和 各 类 编码 文件 的 病毒 扫 
描 ， 因 为 黑客 经 常 把 病毒 放 入 具有 压缩 或 加 密 性 质 的 附件 中 以 躲 过 防 病毒 软件 的 监测 。 

通过 网 络 进行 传播 是 网 络 病毒 的 特点 ， 病 毒 主要 通过 HTTP、FTP 和 SMTP 协议 传播 
到 用 户 的 主机 。 服 务 器 、 网 络 接 入 端 和 网 站 是 病毒 进入 用 户主 机 的 必 经 之 路 ， 如 果 在 服务 
器 、 网 络 接 入 端 和 网 站 设置 病毒 防火 墙 ， 可 以 起 到 大 规模 防止 病毒 扩散 的 目的 ， 比 单机 防 
病毒 的 效果 更 好 。 


5.4.3 ”杀毒 技术 


将 染 毒 文件 的 病毒 代码 摘除 ， 使 之 恢复 为 可 正常 运行 的 文件 ， 称 为 病毒 的 清除 ， 有 时 
也 称 为 对 象 恢复 。 清 除 病毒 所 采用 的 技术 称 为 杀毒 技术 。 

大 多 数 情况 下 ， 采 用 抗 病毒 软件 恢复 受 感染 的 文件 或 磁盘 。 但 是 ， 如 果 抗 病毒 软件 不 
了 解 该 病毒 ， 就 需要 把 感染 文件 传 给 抗 病毒 软件 供应 商 ， 过 一 段 时 间 后 才 会 收 到 解决 方案 。 

依据 病毒 的 种 类 及 其 破坏 行为 的 不 同 ， 染 毒 后 ， 有 的 病毒 可 以 消除 ， 有 的 病毒 不 能 


1. 引导 型 病毒 的 清除 

1) “引导 型 病毒 感染 时 的 攻击 部 位 
Q@ 硬盘 主 引导 扇 区 。 

@ 硬盘 或 软盘 的 Boot 扇 区 。 


为 保存 原 主 引导 扇 区 、Boot 扇 区 ， 病 毒 可 能 随意 地 将 其 写 入 其 他 扇 区 ， 从 而 毁坏 这 些 
扇 区 。 


引导 扇 区 的 恢复 ， 大 多 数 情况 下 是 使 用 DOS SYS 命令 或 者 FDISK/MBR。 引 导 扇 区 的 


| 恢复 必须 保证 病毒 不 在 RAM 区 。 如 果 病毒 的 副本 在 RAM 区 , 则 该 病毒 会 重新 感染 已 恢复 


的 磁盘 或 者 硬盘 。 

使 用 FDISK/MBR 恢复 引导 扇 区 时 该 命令 会 重 写 系统 加 载 程序 ， 但 不 会 改变 磁盘 分 区 
表 , FDISK/MBR 可 以 清除 大 多 数 引 导 型 病毒 。 然 而 ， 如 果 该 病毒 加 密 磁盘 分 区 表 或 使 用 非 
标准 的 感染 方法 ， 则 FDISK/MBR 会 完全 丢失 磁盘 信息 。 因 此 ， 使 用 FDISK/MBR 之 前 ， 
一 定 要 确认 磁盘 分 区 表 没 有 被 修改 过 。 通 过 没有 感染 的 磁盘 启动 到 DOS 环境 ， 使 用 磁盘 工 
具 ( 如 Norton Disk Editor) 检 查 该 分 区 表 是 否 完整 。 

如 果 不 能 用 SYS/FDISK 恢复 引导 扇 区 ， 则 必须 分 析 该 病毒 的 执行 算法 ， 寻 找到 原始 引 
导 扇 区 的 位 置 ， 并 将 它们 移 到 正确 位 置 上 。 

2) “修复 带 毒 的 硬盘 主 引导 扇 区 

【 例 5.2】 介绍 清除 引导 型 病毒 的 步骤 。 

@ 用 无 毒 软盘 启动 系统 。 

@ 寻找 一 台 同类 型 、 硬 盘 分 区 相同 的 无 毒 计算 机 ， 将 其 硬盘 主 引 导 扇 区 写 入 一 张 软 
盘 中 。 

@ 将 此 软盘 插入 染 毒 计算 机 ， 将 其 中 采集 的 主 引导 扇 区 数据 写 入 染 毒 硬盘 ， 即 可 
修复 。 

@ 硬盘 、 软 盘 Boot 扇 区 染 毒 也 可 以 修复 。 寻 找 与 染 毒 盘 相同 版 本 的 无 毒 系统 软盘 ， 
执行 SYS 命令 ， 即 可 修复 。 

引导 型 病毒 如 果 将 原 主 引导 扇 区 或 Boot 扇 区 覆盖 写 入 根 目 录 区 , 被 覆盖 的 根 目 录 区 会 
遭 到 永久 性 损坏 。 引 导 型 病毒 如 果 将 原 主 引导 扇 区 或 Boot 扇 区 覆盖 式 写 入 第 一 FAT 表 时 ， 
可 以 修复 ， 方 法 是 将 第 二 FAT 表 复 制 到 第 一 FAT 表 中 。 


2. 宏 病 毒 的 清除 


为 了 恢复 宏 病 毒 , 须 用 非 文 档 格式 保存 足够 的 信息 。 RTF(Rich Text Format) 适 合 保留 原 
始 文 档 的 足够 信息 而 不 包含 宏 。 然 后 退出 文档 编辑 器 ， 删 除 已 感染 的 文档 文件 以 及 
normal.dot 和 start-up 目录 下 的 文件 。 

经 过 上 述 操作 ， 用 户 的 文档 信息 都 可 以 保留 在 RTF 文件 中 。 这 种 方式 的 缺点 是 打开 和 
保存 文档 时 存在 格式 转换 ， 这 种 转换 增加 了 处 理 时 间 。 另 外 ， 正 常 的 宏 命令 也 不 能 使 用 。 
因此 ， 在 清除 宏 病毒 之 前 应 保存 好 正常 的 宏 命 令 ， 宏 病毒 清除 后 再 恢复 这 些 宏 命令 。 
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3. 文件 型 病毒 的 清除 


一 般 文件 型 病毒 的 染 毒 文件 可 以 修复 。 在 绝 大 多 数 情 况 下 ， 感 染 文件 的 恢复 都 是 很 复 
杂 的 。 如 果 没 有 必要 的 知识 ， 如 可 执行 文件 格式 、 汇 编 语言 等 ， 是 不 可 能 手工 清除 的 。 

当 恢 复 受 感染 的 文件 时 ， 需 考虑 下 列 因素 。 

@ 不 管 文件 的 属性 (只 读 /系统 /隐藏 )， 测 试 和 恢复 所 有 目录 下 的 可 执行 文件 。 

@ 希望 确保 文件 的 属性 和 最 近 修改 时 间 不 改变 。 

@ 一 定 考虑 一 个 文件 多 重 感染 情况 。 

COM/EXE 型 文件 交叉 感染 了 多 个 病毒 ， 病 毒 代码 在 宿主 文件 头 部 和 尾部 都 有 时 ， 必 
须 正确 判断 出 这 几 个 病毒 感染 文件 的 先后 顺序 才 可 能 修复 ， 否 则 ， 染 毒 程序 无 法 恢复 。 


4. 病毒 的 去 激活 


清除 内 存 中 的 病毒 是 指 把 RAM 中 的 病毒 进入 非 激活 状态 ， 跟 文件 恢复 一 样 ， 需 要 操 
作 系 统 和 汇编 语言 知识 。 

清除 内 存 中 的 病毒 ， 需 要 检测 病毒 的 执行 过 程 ， 然 后 改变 其 执行 方式 ， 使 病毒 失去 传 
染 能 力 。 这 需要 全 面 分 析 病毒 代码 ， 因 为 不 同 的 病毒 其 感染 方式 不 同 。 

在 大 多 数 情况 下 ， 除 去 内 存 中 的 病毒 必须 截断 病毒 截获 的 中 断 ， 文 件 型 病毒 截获 INT 
21H， 引 导 型 病毒 截获 INT 13 了。 当然 病毒 可 以 截获 其 他 中 断 ， 或 者 截获 许多 中 断 。 

有 的 病毒 对 其 代码 有 保护 机 制 ， 如 YanKee 使 用 纠 错 码 恢复 自己 。 此 时 ， 病 毒 的 恢复 
机 制 首 先 需要 解除 ， 因 为 有 的 病毒 计算 它们 的 CRC 值 ， 并 把 该 值 与 原来 的 值 比较 ， 如 果 不 
同 ， 则 系统 被 重新 启动 ， 或 删除 磁盘 扇 区 。 因 此 ， 这 种 CRC 的 计算 例 程 必须 被 解除 。 


5. 使 用 杀 病 毒 软件 清除 病毒 


计算 机 一 旦 感染 了 病毒 ， 一 般 的 用 户 首 先 想到 的 就 是 使 用 杀毒 软件 来 清除 病毒 。 杀 毒 
软件 能 清除 大 多 数 病毒 ， 而 且 使 用 方便 ， 技 术 要 求 不 高 ， 不 需要 具备 太 多 的 计算 机 知识 。 
但 有 时 也 会 删除 带 毒 文件 ， 使 系统 不 能 正常 运行 。 

使 用 防 杀 病 毒 软 件 清除 计算 机 病毒 是 普通 用 户 的 首选 ， 但 需要 经 常 升级 病毒 代码 库 ， 
以 便 能 清除 各 种 新 出 现 的 病毒 。 


6. 网 络 病毒 的 清除 


【 例 5.3】 网 络 病毒 的 清除 步骤 。 

一 旦 在 网 络 上 发 现 病毒 ， 应 立即 设法 清除 ， 其 操作 步骤 如 下 。 

(1) 立即 使 用 broadcast 命令 ， 通 知 所 有 用 户 退 网 ， 关 闭 文件 服务 器 。 

(2) 用 带 有 写 保护 的 、 干 净 的 系统 盘 启 动 系统 管理 员工 作 站 ， 并 立即 清除 本 机 病毒 。 

(3) 用 带 有 写 保护 的 、 干 净 的 系统 盘 启 动 文件 服务 器 。 在 系统 管理 员 登 录 后 ， 使 用 
disable login 命令 禁止 其 他 用 户 登 录 。 

(4) 将 文件 服务 器 硬盘 中 的 重要 资料 备份 到 干净 的 软盘 上 。 但 千 万 不 可 执行 硬盘 上 的 
程序 ， 也 千 万 不 要 在 硬盘 中 复制 文件 ， 以 免 破坏 被 病毒 搞 乱 的 硬盘 数据 结构 。 

(5) 用 杀毒 软件 (最 好 是 网 络 杀毒 软件 ) 扫 描 服务 器 上 所 有 卷 的 文件 ， 恢 复 或 删除 被 病 
毒 感染 的 文件 ， 重 新 安装 被 删除 的 文件 。 


(6) 用 杀毒 软件 扫描 并 清除 所 有 可 能 染 上 病毒 的 软盘 或 备份 文件 中 的 病毒 。 

(7) 用 杀毒 软件 扫描 并 清除 所 有 的 有 人 盘 工 作 站 硬盘 上 的 病毒 。 

(8) 在 确信 病毒 已 经 彻底 清除 后 ， 重 新 启动 网 络 和 工作 站 。 如 有 异常 现象 ， 应 请 网 络 
安全 与 病毒 防治 专家 来 处 理 。 


5.5 ”计算 机 病毒 发 展 的 新 技术 
计算 机 病毒 的 广泛 传播 ， 推 动 了 反 病 毒 技术 的 发 展 。 新 的 反 病 毒 技术 的 出 现 ， 又 迫使 


”计算 机 病毒 技术 再 次 更 新 。 两 者 相互 激励 ， 呈 螺旋 式 上 升 ， 不 断 地 提高 各 自 的 水 平 ， 在 此 


过 程 中 出 现 了 许多 计算 机 病毒 新 技术 ， 其 主要 目的 是 为 了 使 计算 机 病毒 能 够 广泛 地 进行 传 
播 。 


5.5.1 抗 分 析 病 毒 技术 


抗 分 析 病 毒 技 术 是 针对 病毒 分 析 技术 的 ， 为 了 使 病毒 分 析 者 难以 清楚 地 分 析出 病毒 原 
理 ， 这 种 病毒 综合 采用 了 以 下 两 种 技术 : 

(1) 加 密 技 术 。 这 是 一 种 防止 静态 分 析 的 技术 ， 它 使 分 析 者 无 法 在 不 执行 病毒 的 情况 
下 阅读 加 密 过 的 病毒 程序 。 

(2) 反 跟 踪 技术 。 此 技术 使 分 析 者 无 法 动态 跟踪 病毒 程序 的 运行 。 

在 无 法 静态 分 析 和 动态 跟踪 的 情况 下 ， 病 毒 分 析 者 是 无 法 知道 病毒 工作 原理 的 。 


5.5.2 ”隐蔽 性 病毒 技术 


计算 机 病毒 不 需要 采取 隐蔽 技术 就 能 达到 广泛 传播 的 目的 。 计 算 机 病毒 刚 开 始 出 现时 ， 
人 们 对 这 种 新 生 事物 认识 不 足 ， 然 而 ， 当 人 们 越 来 越 了 解 计 算 机 病毒 ， 并 有 了 一 套 成 熟 的 
检测 病毒 的 方法 时 ， 病 毒 若 广 泛 传播 ， 就 必须 能 够 躲避 现 有 的 病毒 检测 技术 。 

难以 被 人 发 现 是 病毒 的 重要 特性 。 隐 蔽 8 好， 不 易 被 发 现 ， 可 以 争取 较 长 的 存活 期 ， 造 
成 大 面积 的 感染 ， 从 而 造成 大 面积 的 伤害 。 隐 蔽 自己 不 被 发 现 的 病毒 技术 称 为 隐蔽 性 病毒 
技术 ， 它 是 与 计算 机 病毒 检测 技术 相对 应 的 ， 此 类 病毒 使 自己 融入 运行 环境 中 ， 隐 蔽 行踪 ， 
使 病毒 检测 工具 难以 发 现 自己 。 一 般 来 说 ， 有 什么 样 的 病毒 检测 技术 ， 就 有 相应 的 隐蔽 性 
病毒 技术 。 

若 计算 机 病毒 采用 特殊 的 隐形 技术 , 则 在 病毒 进入 内 存 后 , 用 户 几乎 感觉 不 到 它 的 存在 。 


5.5.3 ”多 态 性 病毒 技术 


多 态 性 病毒 是 指 采 用 特殊 加 密 技 术 编写 的 病毒 ， 这 种 病毒 每 感染 一 个 对 象 ， 就 采用 随 
机 方法 对 病毒 主体 进行 加 密 , 不 断 改 变 其 自身 代码 , 这样 放 入 宿主 程序 中 的 代码 互 不 相同 ， 
不 断 变化 ， 同 一 种 病毒 就 具有 了 多 种 形态 。 

多 态 性 病毒 是 针对 查 毒 软件 而 设计 的 ， 所 以 随 着 这 类 病毒 的 增多 ， 查 毒 软件 的 编写 也 
变 得 更 困难 ， 并 且 还 会 带 来 误 报 。 国 际 上 造成 全 球 范 围 内 的 传播 和 破坏 的 第 一 例 多 态 性 病 
毒 是 TEQUTLA 病毒 ， 从 该 病毒 的 出 现 到 编制 出 能 够 完全 查 出 该 病毒 的 软件 ， 研 究 人 员 花 
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费 了 9 个 月 的 时 间 。 

多 态 性 病毒 的 出 现 给 传统 的 特征 代码 检测 法 带 来 了 巨大 的 冲击 ， 所 有 采用 特征 代码 法 
的 检测 工具 和 清除 病毒 工具 都 不 能 识别 它们 。 被 多 态 性 病毒 感染 的 文件 中 附带 着 病毒 代码 ， 
每 次 感染 都 使 用 随机 生成 的 算法 将 病毒 代码 密码 化 。 由 于 其 组 合 的 状态 多 得 不 计 其 数 ， 所 
以 不 可 能 从 该 类 病毒 中 抽出 可 作为 依据 的 特征 代码 。 

多 态 性 病毒 也 存在 一 些 无 法 弥补 的 缺陷 ， 所 以 ， 反 病毒 技术 不 能 停留 在 先 等 待 被 病毒 
感染 ， 然 后 用 查 毒 软件 扫描 病毒 ， 最 后 再 杀 掉 病毒 这 样 被 动 的 状态 。 而 应 该 采取 主动 防御 
的 措施 ， 采 用 病毒 行为 跟踪 的 方法 ， 在 病毒 要 进行 传染 、 破 坏 时 发 出 警报 ， 并 及 时 阻止 病 
毒 作 出 任何 有 害 操 作 。 


5.5.4 ”超级 病毒 技术 


超级 病毒 技术 是 一 种 很 先进 的 病毒 技术 。 其 主要 目的 是 对 抗 计算 机 病毒 的 预防 技术 。 

信息 共享 使 病毒 与 正常 程序 有 了 汇合 点 。 病毒 借助 于 信息 共享 能 够 获得 感染 正常 程序 、 
实施 破坏 的 机 会 。 如 果 没 有 信息 共享 ， 正 常 程序 与 病毒 相互 完全 隔绝 ， 没 有 任何 接触 机 会 ， 
病毒 便 无 法 攻击 正常 程序 。 反 病毒 工具 与 病毒 之 间 的 关系 也 是 如 此 。 如 果 病 毒 作者 能 找到 
一 种 方法 ， 当 一 个 计算 机 病毒 进行 感染 、 破 坏 时 ， 让 反 病 毒 工具 无 法 接触 到 病毒 ， 消 除 两 
者 交互 的 机 会 ， 那 么 反 病 毒 工具 便 失去 了 捕获 病毒 的 机 会 ， 从 而 使 病毒 的 感染 、 破 坏 过 程 
得 以 顺利 完成 。 

由 于 计算 机 病毒 的 感 当 、 破 坏 必 然 伴随 着 磁盘 的 读 、 写 操作 ， 所 以 预防 计算 机 病毒 的 
关键 在 于 ， 病 毒 预防 工具 能 和 否 获得 运行 的 机 会 以 对 这 些 读 写 操作 进行 判断 分 析 。 超 级 病毒 
技术 就 是 在 计算 机 病毒 进行 感染 、 破 坏 时 ， 使 得 病毒 预防 工具 无 法 获得 运行 机 会 的 病毒 
技术 。 

一 般 病 毒 攻击 计算 机 时 ， 往 往 窃 取 某 些 中 断 功能 ， 要 借助 DOS 才能 完成 操作 。 例 如 ， 
在 PC 中 病毒 要 写 盘 , 必须 借助 原 DOS 的 INT 13H。 反 病 毒 工具 都 是 在 DOS 中 设置 了 许多 
陷阱 ， 监 视 着 系统 中 许多 病毒 欲 攻击 的 敏感 点 ， 等 待 病毒 触 碰 这 些 警 戒 点 ， 一 旦 掉 入 陷阱， 
病毒 便 被 捕获 。 超级 病毒 的 作者 以 更 高 的 技术 编写 了 完全 不 借助 于 DOS 系统 而 能 攻击 计算 
机 的 病毒 ， 此 类 病毒 攻击 计算 机 时 ， 完 全 依靠 病毒 内 部 代码 来 进行 操作 ， 避 免 碰 触 DOS 系 
统 ， 因 而 不 会 掉 入 反 病 毒 陷阱 ， 使 抗 病毒 工具 极 难 捕获 它 。 一 般 的 软件 或 反 病 毒 工 具 遇 到 
此 类 病毒 都 失效 。 

超级 计算 机 病毒 目前 还 比较 少 ， 因 为 它 的 技术 还 不 为 许多 人 所 知 ， 而 且 编 制 起 来 也 相 
当 困难 。 然 而 一 旦 这 种 技术 被 越 来 越 多 的 人 掌握 ， 同 时 结合 多 态 性 病毒 技术 、 插 入 性 病毒 
技术 ， 这 类 病毒 将 给 反 病 毒 的 艰巨 事业 增加 困难 。 


5.5.5 ”插入 性 病毒 技术 


病毒 感染 文件 时 ， 一 般 将 病毒 代码 放 在 文件 头 部 ， 或 者 放 在 尾部 ， 虽 然 可 能 对 宿主 代 
码 做 某 些 改变 ， 但 总 的 来 说 ， 病 毒 与 宿主 程序 有 明确 界限 。 

插入 性 病毒 在 不 了 解 宿 主 程序 的 功能 及 结构 的 情况 下 ， 能 够 将 宿主 程序 拦腰 截断 。 在 
宿主 程序 中 插入 病毒 程序 ， 此 类 病毒 的 编写 也 是 相当 困难 的 。 如 果 对 宿主 程序 的 切断 处 理 
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不 当 ， 则 很 容易 死机 。 


5.5.6 ”破坏 性 感染 病毒 技术 


破坏 性 感染 病毒 技术 是 针对 计算 机 病毒 消除 技术 而 设计 的 。 

计算 机 病毒 消除 技术 是 将 被 感染 程序 中 的 病毒 代码 摘除 ， 使 之 变 为 无 毒 的 程序 。 一 般 
病毒 感染 文件 时 ， 不 伤害 宿主 程序 代码 。 有 的 病毒 虽然 会 移动 或 变动 部 分 宿主 代码 ， 但 在 
内 存 运 行 时 ， 还 是 要 恢复 其 原样 ， 以 保证 宿主 程序 正常 运行 。 

破坏 性 感染 病毒 则 将 病毒 代码 覆盖 式 写 入 宿主 文件 ， 染 毒 后 的 宿主 文件 丢失 了 与 病毒 


| 代码 等 长 的 源 代 码 。 如 果 宿 主 文件 长 度 小 于 病毒 代码 长 度 ， 则 宿主 文件 全 部 丢失 ， 文 件 中 


的 代码 全 部 是 病毒 代码 。 一 旦 文件 被 破坏 性 感染 病毒 感染 便 如 同 得 了 绝症 , 被 感染 的 文件 ， 
其 宿主 文件 少 则 丢失 几 十 字 节 ， 多 则 丢失 几 万 字 节 ， 严 重 的 甚至 会 全 部 丢失 。 如 果 宿 主 程 
序 没有 副本 ， 感 染 后 任何 人 、 任 何 工 具 都 无 法 补救 ， 所 以 此 种 病毒 无 法 做 常规 的 杀毒 处 理 。 

一 般 的 杀毒 操作 都 不 能 消除 此 类 病毒 ， 它 是 杀毒 工具 不 可 逾越 的 障碍 。 破 坏 性 病毒 虽 
然 恶毒 ， 却 很 容易 被 发 现 ， 因 为 人 们 一 旦 发 现 一 个 程序 不 能 完成 它 应 有 的 功能 ， 一 般 会 将 
其 删除 ， 这 样 病毒 根本 无 法 向 外 传播 ， 因 而 不 会 造成 太 大 的 危害 。 


5.5.7 ”病毒 自动 生产 技术 


病毒 自动 生产 技术 是 针对 病毒 的 人 工分 析 技 术 而 设计 的 。 

国外 曾 出 现 过 一 种 叫 作 “ 计 算 机 病毒 生成 器 ”的 软件 工具 ， 该 工具 界面 良好 ， 并 有 详 
尽 的 联机 帮助 ， 易 学 易 用 ， 即 使 对 计算 机 病毒 一 无 所 知 的 用 户 ， 也 能 随心 所 欲 地 组 合 出 算 
法 不 同 、 功 能 各 异 的 计算 机 病毒 。 另 外 ， 还 有 一 种 叫 作 “ 多 态 性 发 生 器 ”的 软件 工具 ， 利 
用 此 工具 ， 可 将 普通 病毒 编译 后 ， 输 出 很 难处 理 的 多 态 性 病毒 。 由 此 可 见 ， 病 毒 的 制作 已 
进入 自动 化 生产 的 阶段 。 

MoutationEngine 是 一 种 程序 变形 器 ， 可 以 使 程序 代码 本 身 发 生变 化 ， 而 保持 原 有 功能 。 
利用 计算 得 到 的 密 钥 ， 程 序 变 形 器 产生 的 程序 代码 可 以 多 种 多 样 。 当 计算 机 病毒 采用 了 这 
种 技术 时 ， 会 变 成 一 种 具有 自我 变异 功能 的 计算 机 病毒 。 这 种 病毒 程序 可 以 衍 变 出 各 种 各 
样 变 种 的 计算 机 病毒 ， 且 这 种 变化 是 由 程序 自身 的 机 制 生成 的 。 单 从 程序 设计 的 角度 讲 ， 
这 是 一 项 很 有 意义 的 新 技术 ， 使 计算 机 软件 变 成 了 一 种 具有 某 种 “生命 ”形式 的 “ 活 ” 的 
东西 。 但 从 保卫 计算 机 系统 安全 的 反 病 毒 技术 人 员 和 角度 来 看 ， 这 种 变形 病毒 是 不 容易 对 付 
的 敌手 。 从 广义 上 讲 ， 病 毒 自动 生产 技术 是 针对 病毒 的 分 析 技 术 的 ， 它 不 是 从 “ 质 ” 上 而 
是 从 “ 量 ” 上 企图 压 垮 病毒 分 析 者 。 


5.5.8 Internet 病毒 技术 


随 着 Internet 的 迅速 发 展 , 将 文件 附加 在 电子 邮件 中 的 能 力 在 不 断 地 提高 , 因而 病毒 的 
扩散 速度 也 急剧 上 升 ， 受 感染 的 范围 越 来 越 广 ， 而 且 感 染 方式 也 从 软盘 介质 感染 转 到 了 从 
网 络 服务 器 到 Intemet 的 感染 。 

电子 邮件 在 服务 信息 社会 的 同时 ， 也 为 计算 机 病毒 找到 了 一 条 新 的 传播 途径 和 载体 。 
病毒 为 增加 隐蔽 性 ， 通 常 夹 在 电子 邮件 中 ,并 附 以 熟悉 的 姓名 、 重 要 的 提示 或 美丽 的 图 案 ， 
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使 用 户 不 会 产生 任何 怀疑 ， 以 诱骗 用 户 打开 邮件 及 其 附件 。 

综 上 所 述 ， 病 毒 技 术 是 多 种 多 样 的 ， 各 个 方面 都 对 反 病 毒 技 术 带 来 严重 的 挑战 。 计 算 
机 病毒 不 仅仅 是 数量 上 的 增长 ， 而 且 在 理论 上 和 实践 的 技术 上 均 有 较 大 的 发 展 和 突破 。 从 
目前 来 看 ， 计 算 机 病毒 技术 领先 于 反 病 毒 技术 。 只 有 详细 了 解 病毒 原理 以 及 病毒 采用 的 各 
种 技术 ， 才 能 更 好 地 防治 病毒 。 也 只 有 对 病毒 技术 从 理论 、 技 术 上 做 一 些 超前 的 研究 ， 才 
能 对 新 型 病毒 的 出 现 做 到 心中 有 数 ， 达 到 防 患 于 未 然 的 目的 。 


5.6 ” 防 杀 网 络 病毒 的 软件 


5.6.1 ”防毒 软件 


防 病 毒 软件 可 以 检测 外 来 的 程序 、 文 件 或 邮件 附件 ， 并 给 出 实时 警告 或 删除 病毒 。 不 
同 的 防毒 软件 的 保护 机 制 各 不 相同 ， 在 安装 时 往往 被 设 定 为 默认 模式 。 在 使 用 过 程 中 ， 如 
果 仅 仅 保留 默认 设置 ， 或 者 为 了 提升 系统 性 能 减少 了 一 部 分 保护 功能 ， 则 系统 很 可 能 在 某 
些 关键 时 刻 丧 失 保护 。 所 以 针对 不 同 的 防毒 软件 的 不 同 设计 思路 要 进行 不 同 的 设置 ， 以 更 
好 地 保护 系统 安全 。 


5.6.2” 反 病毒 软件 


随 着 计算 机 技术 及 反 毒 技术 的 发 展 ， 早 期 的 防 病毒 卡 也 像 其 他 计算 机 硬件 卡 (如 汉字 卡 
等 ) 一 样 ， 逐 步 衰落 退出 市 场 ， 与 此 对 应 的 ， 各 种 反 病毒 软件 开始 日 益 风行 起 来 ， 并 且 经 过 
十 几 年 的 发 展 ， 逐 步 经 历 了 好 几 代 反 病毒 技术 的 发 展 。 

第 一 代 反 病 毒 技 术 采 取 单 纯 的 病毒 特征 代码 分 析 ， 将 病毒 从 带 毒 文 件 中 清除 掉 。 这 种 
方式 可 以 准确 地 清除 病毒 ， 可 靠 性 很 高 。 后 来 病毒 技术 发 展 了 ， 特 别 是 加 密 和 变形 技术 的 
运用 ， 使 得 这 种 简单 的 静态 扫描 方式 失去 了 作用 。 随 之 而 来 的 反 病 毒 技术 也 发 展 了 一 步 。 

第 二 代 反 病毒 技术 采用 静态 广 谱 特 征 扫 描 方法 检测 病毒 ， 这 种 方式 可 以 更 多 地 检测 出 
变形 病毒 ， 但 另 一 方面 误 报 率 也 有 所 提高 ， 尤 其 是 用 这 种 不 严格 的 特征 判定 方式 去 清除 病 
毒 带 来 的 风险 性 很 大 ， 容 易 造 成 文件 和 数据 的 破坏 。 所 以 说 静态 防 病毒 技术 也 有 难以 克服 
的 缺陷 。 

第 三 代 反 病毒 技术 的 主要 特点 是 将 静态 扫描 技术 和 动态 仿真 跟踪 技术 结合 起 来 ， 将 查 
找 病毒 和 清除 病毒 合 二 为 一 ， 形 成 一 个 整体 解决 方案 ， 能 够 全 面 实现 防 、 查 、 杀 等 反 病 毒 
所 必 备 的 各 种 手段 ， 以 驻 留 内 存 方式 防止 病毒 的 入 侵 ， 凡 是 检测 到 的 病毒 都 能 清除 ， 不 会 
破坏 文件 和 数据 。 随 着 病毒 数量 的 增加 和 新 型 病毒 技术 的 发 展 ， 静 态 扫描 技术 将 会 使 反 毒 
软件 速度 降低 ， 驻 留 内 存 防毒 模块 容易 产生 误 报 。 

第 四 代 反 病毒 技术 则 针对 计算 机 病毒 的 命名 规则 , 基于 多 位 CRC 校 验 和 扫描 机 理 , 启 
发 式 智能 代码 分 析 模 块 、 动 态 数据 还 原 模 块 (能 查 出 隐蔽 性 极 强 的 压缩 加 密 文件 中 的 病毒 )、 
内 存 解毒 模块 、 自 身 免疫 模块 等 先进 的 防毒 技术 ， 较 好 地 解决 了 以 前 防毒 技术 顾此失彼 、 
此 消 彼 长 的 状态 。 

反 病 毒 软 件 伴随 着 反 病毒 技术 的 不 断 提高 而 功能 越 来 越 强 ， 可 以 清除 大 多 数 病毒 。 

杀毒 软件 市 场 潜力 巨大 ， 世 界 杀 毒 软件 巨头 之 一 的 赛 门 铁 克 (Symantec) 公 司 2004 年 的 
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收入 已 经 达到 18.7 亿美 元 ， 其 产品 包括 了 网 络 安全 的 各 个 方面 ， 杀 毒 产 品 为 诺顿 (Norton 
Antivirus)。 国 内 的 杀毒 软件 市 场 基本 形成 瑞星 、 江 民 、 金 山 三 足 易 立 的 局 面 。 


5.6.3 ”瑞星 杀毒 软件 

瑞星 (http://wwwi.rising.com.cn) 是 北京 瑞星 科技 股份 有 限 公司 的 产品 ， 在 国内 市 场 占 有 
率 为 60% 左 右 。 

北京 瑞星 科技 股份 有 限 公 司 成 立 于 1998 年 4 月 ， 公 司 以 研究 、 开 发 、 生 产 及 销售 计算 


机 反 病 毒 产品 、 网 络 安全 产品 和 “黑客 ”防治 产品 为 主 ， 软 件 产品 全 部 拥有 自主 知识 产权 ， 
能 够 为 个 人 、 企 业 和 政府 机 构 提供 全 面 的 信息 安全 解决 方案 。 


5.6.4 ”金山 毒霸 


金山 毒霸 (http://db.kingsoft.com) 是 金山 软件 股份 有 限 公司 的 产品 , 在 国内 市 场 占有 率 为 
15% 左 右 。 

金山 软件 创建 于 1988 年 , 金山 毒霸 是 中 国信 息 安全 及 反 病 毒 领 域 极 具 品 牌 影响 力 、 拥 
有 较 高 市 场 占有 率 和 领先 技术 的 产品 。 


5.6.5 ” 江 民 杀毒 软件 
江 民 (http:/wwwjiangmin.com) 杀 毒 软件 KV2006 是 江 民 科技 公司 的 最 新 产品 ， 在 国内 
市 场 占有 率 为 1 5% 左右 。 


江 民 科技 公司 成 立 于 1996 年 ， 研 发 和 经 营 范 围 涉 及 : 单机 、 网 络 反 病毒 软件 ， 单 机 、 
网 络 黑客 防火 墙 ， 邮 件 服务 器 防 病毒 软件 等 一 系列 信息 安全 产品 。 


5.7 ”病毒 与 漏洞 的 关系 


网 络 安全 设备 厂商 常常 会 有 这 样 的 苦恼 ， 比 如 IPS 时 常 检测 到 大 量 来 自 内 网 的 攻击 ， 
而 用 户 对 这 种 攻击 不 了 解 ， 希 望 厂商 为 其 清理 攻击 源 。 但 这 种 情况 往往 是 因为 用 户 网 络 中 
有 节点 感染 了 带 蠕 虫 特 征 的 病毒 ， 这 些 病毒 的 清除 工作 比较 繁琐 。 下 面 讨论 漏洞 与 病毒 的 
关系 ， 解 开 病毒 发 起 攻击 的 相关 疑惑 。 


5.7.1 漏洞 与 病毒 的 概念 


漏洞 是 在 硬件 、 软 件 、 协 议 的 具体 实现 或 系统 安全 策略 上 存在 的 缺陷 ， 从 而 可 以 使 攻 
击 者 能 够 在 未 经 授权 的 情况 下 访问 或 破坏 系统 。 漏 洞 会 影响 到 很 大 范围 的 软 、 硬 件 设备 ， 
包括 操作 系统 及 其 上 的 应 用 软件 、 网 络 客户 端 和 服务 器 ， 甚 至 路 由 器 和 安全 防火 墙 等 。 漏 
洞 问题 是 与 时 间 紧 密 相关 的 。 随 着 时 间 的 推移 及 用 户 使 用 的 深入 ， 系 统 中 存在 的 漏洞 会 不 
断 暴露 出 来 ， 这 些 漏洞 也 会 不 断 被 系统 供应 商 发 布 的 补丁 软件 修补 ，IPS 设备 也 会 做 相应 
防护 ， 但 是 潜在 的 漏洞 不 会 因为 这 些 措施 而 消失 ， 依 然 存在 并 可 能 在 某 个 时 间 点 被 发 现 ， 
个 别 漏洞 隐藏 的 时 间 可 长 达 十 数 年 之 久 。 

计算 机 病毒 是 指 编制 者 在 计算 机 程序 中 插入 的 破坏 计算 机 功能 或 者 破坏 数据 、 影 响 计 
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算 机 使 用 并 且 能 够 自我 复制 的 一 组 计算 机 指令 或 者 程序 代码 。 计 算 机 病毒 可 以 像 生 物 病毒 
一 样 进行 繁殖 ， 当 正常 程序 运行 的 时 候 ， 它 也 进行 自身 复制 ， 有 无 繁殖 、 感 染 的 特征 是 判 
断 某 段 程序 是 否 为 计算 机 病毒 的 首要 条 件 。 计 算 机 病毒 可 通过 各 种 可 能 的 渠道 ， 如 可 移动 
存储 介质 、 计 算 机 网 络 去 感染 其 他 计算 机 。 当 在 一 台 机 器 上 发 现 病 毒 时 ， 往 往 曾 在 这 台 计 
算 机 上 用 过 的 U 盘 已 感染 上 了 病毒 ， 而 与 这 台 机 器 相 联网 的 其 他 计算 机 可 能 也 被 该 病毒 感 
染 上 了 。 
5.7.2 漏洞 辅助 病毒 传播 

病毒 的 传播 途径 多 种 多 样 ， 基 于 社会 工程 学 的 电子 邮件 、 网 页 及 P2P 文件 共享 较为 党 
见 。 比 较 直 接 的 方式 是 ， 病 毒 传播 者 将 病毒 放 在 电子 邮件 中 寄 给 受害 者 ， 引 诱 受害 者 打开 
电子 邮件 中 的 带 病毒 .exe 文件 而 感染 病毒 ， 或 者 通过 P2P 共享 或 网 页 链接 的 方式 ， 欺 骗 受 
害 者 打开 病毒 文件 。 对 于 安全 意识 较 好 的 用 户 ， 这 些 伎俩 均 难 以 得 逮 。 但 是 如 果 病 毒 具有 
可 通过 漏洞 进行 传播 的 能 力 ， 而 用 户 系统 没有 针对 病毒 攻击 的 目标 漏洞 采取 防护 措施 ， 用 
户 系统 将 可 能 在 不 做 任何 操作 的 情况 下 被 病毒 感染 。 常 见 的 病毒 利用 漏洞 传播 的 方式 有 如 
下 几 种 。 

1. 利用 网 站 漏洞 进行 网 页 挂 马 

通过 对 网 站 漏洞 的 利用 ， 黑 客 可 以 将 病毒 植 入 到 访问 量 比较 大 的 网 站 ， 用 户 一 旦 访问 
这 些 网 站 即 被 病毒 感染 。 很 多 比较 大 的 门户 网 站 也 发 生 过 被 挂 马 的 事件 。 这 种 方式 利用 了 
网 站 的 影响 力 及 用 户 对 常用 网 站 基于 信任 的 权限 设置 ， 大 大 增加 了 病毒 感染 数量 。 病 毒 伟 
播 者 要 利用 网 站 漏洞 进行 网 页 挂 马 传播 病毒 ， 必 须要 获取 对 站 点 文件 的 修改 权限 ， 而 获取 
该 站 点 的 WebShell( 网 站 的 后 门 工具 ， 对 服务 器 有 某 种 程度 的 操作 权限 ) 是 最 普遍 的 做 法 。 
可 供 病毒 传播 者 实施 的 攻击 手段 比较 多 ， 比 如 注入 漏洞 、 跨 站 漏洞 、 旁 注 漏洞 、 上 传 漏洞 
和 系统 漏洞 都 可 被 利用 。 对 于 这 种 病毒 传播 方式 , 主要 靠 网 站 通过 及 时 修补 漏洞 、 部 署 IPS 
等 来 防御 ， 网 站 用 户 安装 杀毒 软件 和 即时 更 新 浏览 器 相关 补丁 也 是 必 不 可 少 的 措施 。 


2. 利用 应 用 程序 漏洞 传播 病毒 


很 多 常用 的 办 公 软 件 ， 如 微软 Office 家 族 及 Adobe 的 Acrobat/Reader 系列 ， 由 于 其 功 
能 强大 、 实 现 复杂 ， 基 本 每 月 均 会 报 出 新 的 漏洞 ， 而 这 些 漏洞 均 有 可 能 被 病毒 传播 者 利用 。 
网 页 浏览 中 最 常用 的 Flash 播放 器 插件 Adobe Flash Player， 也 是 曾经 的 漏洞 大 户 ， 理 所 当 
然 地 成 为 病毒 传播 者 比较 重视 的 传播 途径 。 事 实 上 ， 国 内 许多 口碑 不 错 的 应 用 软件 ， 也 已 
经 成 为 病毒 传播 者 的 目标 。 越 来 越 多 的 黑客 ， 已 经 把 目光 从 系统 漏洞 转向 第 三 方 应 用 程序 
漏洞 去 达到 不 法 目的 ， 主 要 原因 是 应 用 软件 厂商 的 安全 响应 速度 不 及 系统 软件 厂商 快 ， 并 
且 应 用 软件 用 户 群 的 安全 意识 和 安全 知识 普遍 不 够 。 国 内 影响 比较 大 的 应 用 软件 的 漏洞 均 
可 用 于 病毒 传播 ， 如 千 千 静 听 med 文件 格式 堆 溢出 漏洞 ， 用 户 使 用 具有 漏洞 的 千 千 静 听 播 
放 或 者 浏览 包含 恶意 代码 的 med 声音 文件 时 , 木马 病毒 就 会 轻易 进入 用 户 的 计算 机 系统 中 。 
例如 ， 暴 风 影 音 I 荆 的 一 个 ActiveX 控件 漏洞 ， 当 安装 了 暴风 影音 工 的 用 户 在 浏览 黑客 精心 
构造 的 包含 恶意 代码 的 网 页 后 ， 会 下 载 任意 程序 到 用 户 系 统 上 ， 并 以 当前 用 户 权限 自动 运 
行 。 再 比如 联众 游戏 大 厅 GLIEDown2.dll ActiveX 控件 漏洞 ， 当 用 户 安装 含有 漏洞 的 联众 
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和 | 游戏 大 厅 时 , 浏览 到 黑客 构造 的 含有 恶意 代码 的 网 页 后 , 会 在 后 台 自动 下 载 任意 恶意 程序 ， 
机 | 以 当前 用 户 上 下 文 权 限 运行 。 如 上 所 述 ， 如 果 应 用 软件 漏洞 被 准确 利用 ， 用 户 在 打开 一 
个 .doc 或 pdf 文档 ， 或 者 看 一 个 视频 、 听 一 首 歌曲 的 过 程 中 ， 均 可 能 感染 上 病毒 。 图 5.3 
显示 了 卡巴 斯 基 2011 年 统计 的 漏洞 软件 被 在 线 攻击 的 类 型 分 布 。 
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图 5.3 ”2011 年 被 在 线 攻击 的 漏洞 软件 分 布 
3. 利用 系统 漏洞 传播 病毒 


这 里 所 说 的 系统 漏洞 是 指 操作 系统 及 其 周边 基础 服务 软件 的 漏洞 。 这 类 漏洞 的 特点 是 
影响 范围 广 且 危害 巨大 , 如 在 Windows 操作 系统 上 臭名 昭著 的 RPC(Remote Procedure Call) 
系列 漏洞 ， 至 今 还 是 许多 病毒 传播 的 重要 途径 。 通 过 网 络 进行 复制 和 传播 的 蠕虫 病毒 ， 能 
够 利用 Windows RPC 漏洞 直接 感染 装 有 Windows 系统 的 主机 ， 不 需要 用 户 进行 干预 ， 这 
也 是 网 络 中 经 常 成 片 出 现 主机 感染 病毒 的 原因 ,不 仅 RPC 漏 洞 危害 比较 大 ,其 他 在 Windows 
上 出 现 的 漏洞 危害 都 不 小 ， 如 最 近 被 发 现 的 远程 桌面 协议 漏洞 (CVE-2012-0002)。 这 个 漏洞 
允许 通过 RDP 服务 远程 执行 代码 ,属于 高 危 漏洞 。 攻击 者 可 能 使 用 特别 构造 的 一 系列 数据 
包 获 得 对 系统 的 完全 访问 。 随 后 攻击 者 能 够 安装 程序 ， 查 看 、 修 改 或 是 删除 数据 ， 或 是 创 
建 拥有 完全 用 户 权 限 的 新 账号 ， 当 然 也 是 用 于 病毒 传播 比较 理想 的 渠道 。 

目前 流行 的 病毒 基本 上 都 会 融合 多 种 传播 方式 , 利用 系统 漏洞 是 其 中 不 可 或 缺 的 一 种 。 
如 “ 飞 客 ”(Conficker) 病 毒 及 其 多 类 变种 ， 利 用 Windows 操作 系统 MS08-067 漏洞 进行 传 
播 , 同时 也 能 借助 任何 有 USB 接口 的 硬件 设备 、 网 络 共享 来 感染 ,MS08-067 漏洞 就 是 RPC 
漏洞 的 一 种 ， 而 不 少 RPC 服务 程序 是 默认 启动 的 ， 这 为 利用 这 类 漏洞 的 病毒 提供 了 极 大 的 
方便 。 病毒 会 随机 或 按照 一 定 的 策略 选择 一 个 网 段 或 一 些 卫 地 址 , 针对 这 个 漏洞 进行 攻击 ， 
如 果 攻 击 成 功 就 能 在 受害 主机 上 复制 自身 ， 并 从 这 台新 感染 的 主机 发 起 同样 的 攻击 ， 一 旦 
网 络 中 有 一 定数 量 的 主机 感染 了 这 种 病毒 , 网 络 中 的 攻击 流量 就 会 显著 上 升 甚至 拥塞 网 络 ， 
IPS 等 安全 设备 检测 到 这 种 攻击 而 告警 内 网 有 大 量 攻击 也 就 不 足 为 奇 了 。 总 之 ，Windows 
等 广泛 应 用 的 系统 为 黑客 利用 系统 漏洞 传播 病毒 提供 了 广阔 的 空间 。 


5.7.3 ”病毒 使 攻击 更 有 针对 性 


漏洞 评估 病毒 (Vulnerability Assessment Worms) 已 经 出 现 ， 该 类 病毒 对 计算 机 安全 漏洞 
进行 扫描 并 综合 评估 后 ， 将 漏洞 信息 反馈 给 病毒 编写 者 ， 病 毒 编 写 者 再 伺机 进行 有 针对 性 
的 攻击 行为 。 漏 洞 评估 病毒 的 行为 一 般 以 信息 收集 为 主 ， 为 黑客 入 侵 铺路 ， 不 具有 很 强 的 
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破坏 性 ， 因 此 对 病毒 扫描 产品 具有 一 定 的 隐匿 性 ， 通 常 不 会 轻易 被 反 病毒 软件 检测 到 。 同 
时 ， 这 类 病毒 还 可 能 会 受到 病毒 编写 者 的 远程 控制 ， 会 不 定期 地 对 自身 进行 更 新 ， 通 过 此 
方法 也 有 可 能 逃 过 反 病 毒 软 件 的 查 杀 。 随 着 黑客 攻击 越 来 越 专 业 、 越 来 越 有 耐心 ， 
APT(Advanced Persistent Threat, 高 级 持续 性 威胁 ) 攻 击 已 经 成 为 信息 安全 的 重要 威胁 。 可 以 
预见 ， 作 为 黑客 攻击 前 奏 的 漏洞 评估 病毒 将 越 来 越 普遍 。 


5.7.4 ”应 对 病毒 与 漏洞 攻击 的 双重 威胁 

为 防御 更 广泛 而 有 针对 性 的 攻击 ， 企 业 需要 采取 立体 的 安全 基础 措施 ， 如 在 内 网 中 部 
署 终 端 安全 接 入 认证 并 在 互联 网 出 口 及 服务 器 入 口 部 署 入 侵 防 御 系 统 等 ， 并 紧密 关注 配置 
管理 ， 及 时 地 部 署 安全 更 新 ;仔细 监测 并 进行 高 级 分 析 ， 以 便 发 现 威胁 ;如 果 受 到 攻击 的 
企业 根据 其 所 处 的 行业 环境 考虑 到 “由 荤 谋 已 久 的 对 手 发 起 的 目标 攻击 ”这 一 因素 ， 就 有 
可 能 遏制 攻击 者 的 活动 ， 从 而 赢得 时 间 进 行 检测 、 响 应 并 减轻 攻击 。 

普通 用 户 可 以 通过 坚持 以 下 基本 安全 原则 ， 避 免 受到 黑客 攻击 或 感染 病毒 ， 认 识 到 使 
用 安全 性 较 强 的 密码 的 重要 性 ， 并 付 诸 实践 ， 定 期 更 新 操作 系统 及 应 用 软件 ， 包 括 但 不 限 
于 应 用 软件 及 操作 系统 的 升级 补丁 ;使 用 可 信和 来 源 的 软件 并 保持 更 新 ， 谨 慎 地 点 击 网 页 链 
接 ; 谨慎 对 待 附 件 和 文件 传输 ， 警 惕 利用 社交 网 络 技 术 手 段 的 恶意 行为 。 


复习 思考 题 五 
一 、 填 空 题 
1. 计算 机 病毒 按 破 坏 程度 分 类 可 以 分 为 病毒 和 病毒 。 
2. 基于 传染 方式 不 同 ， 计 算 机 病毒 可 分 为 病毒 、 病毒 和 病毒 3 种 。 
3. 按照 病毒 特有 的 算法 ， 可 以 将 计算 机 病毒 划分 为 病毒 、 病毒 和 
病毒 。 
4. 按照 病毒 的 链接 方式 ， 可 以 将 计算 机 病毒 划分 为 病毒 、 病毒 、 
病毒 和 病毒 。 
5. 网 络 反 病 毒 技 术 包括 和 等 3 种 技术 。 
6. 计算 机 病毒 传播 的 途径 一 般 有 和 3 种 。 
二 、 选 择 题 
1. 计算 机 病毒 是 一 种 ( )。 
A. 软件 故障 B. 硬件 故障 C. 程序 D. 黑客 
2. ”下列 不 属于 计算 机 病毒 特征 的 是 ( )。 
A. 传染 性 B. 潜伏 性 C. 破坏 性 D. 免疫 性 
3.， 下列 属于 杀毒 软件 的 是 ( )。 
A. Microsoft Access B. KV3000 C. MS-DOS D. Photoshop 
4. 计算 机 病毒 是 一 种 破坏 计算 机 功能 或 者 毁坏 计算 机 中 所 存储 数据 的 ( 。 )。 
A 程序 代码 B. 微 生物 病菌 。 ”C. 计 算 机 专家 ”DD. 计 算 机 硬件 


木马 程序 一 般 是 指 潜藏 在 用 户 计算 机 中 带 有 恶意 性 质 的 ， 利 用 它 可 以 在 用 户 不 知 


@_ 


情 的 情况 下 窃取 用 户 联网 计算 机 上 的 重要 数据 信息 的 ( 。 )。 
A. 远程 控制 软件 B. 计算 机 操作 系统 
C. 木头 做 的 马 D. 计算 机 硬件 设备 
6. 网 络 蠕虫 一 般 指 利用 计算 机 系统 漏洞 、 通 过 互联 网 传播 扩散 的 一 类 病毒 程序 ， 为 
了 防止 受到 网 络 蠕虫 的 侵害 ， 应 当 注 意 对 ( ”) 进 行 升级 更 新 。 


A. 计算 机 操作 系统 B. 计算 机 硬件 
C. 文字 处 理 软 件 D. 杀 病 毒 软件 
7. 计算 机 病毒 不 具有 ( ”) 特 征 。 
A. 破坏 性 B. 隐蔽 性 C. 传染 性 D. 无 针对 性 


8 ( ) 是 一 种 基于 远程 控制 的 黑客 工具 ， 它 通常 寄生 于 用 户 的 计算 机 系统 中 ， 盗 
窃 用 户 信息 ， 并 通过 网 络 发 送 给 黑客 。 
A. 文件 病毒 B. 木马 C. 引导 型 病毒 ”DD. 蠕虫 
9. ( ”) 是 一 种 可 以 自我 复制 的 完全 独立 的 程序 ， 它 的 传播 不 需要 借助 被 感染 主机 
的 其 他 程序 。 它 可 以 自动 创建 与 其 功能 完全 相同 的 副本 ， 并 在 没 人 干涉 的 情况 下 自动 运行 。 
A. 文件 病毒 B. 木马 C. 引导 型 病毒 ”DD. 蠕虫 
三 、 简 答题 
. 什么 是 计算 机 病毒 ? 病毒 都 可 以 通过 哪些 途径 传播 ? 
. 什么 是 计算 机 网 络 病毒 ? 简 述 计算 机 网 络 病毒 的 特点 。 
. 简 述 计算 机 网 络 病毒 的 分 类 。 
. 简 述 计 算 机 网 络 病毒 的 危害 。 
. 简 述 病毒 发 作 前 的 症状 。 
. 常用 的 反 病 毒 技 术 有 哪些 ? 
. 计算 机 病毒 发 展 的 新 技术 有 哪些 ? 
. 国内 常用 的 杀 病 毒 软件 有 哪些 ? 
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学 习 目标 
系统 学 习 防火 墙 的 基本 概念 与 作用 ， 防 火 墙 的 优 、 缺 点 及 分 类 ， 常 用 的 防火 墙 技术 及 
防火 墙 的 体系 结构 。 了 解 在 选择 防火 墙 时 应 遵循 的 基本 原则 和 应 注意 的 事项 及 防火 墙 技术 
的 发 展 趋势 。 通 过 本 章 的 学 习 ， 读 者 应 掌握 以 下 内 容 : 
@ ”掌握 防火 墙 基本 概念 与 作用 ， 防 火 墙 的 优 、 缺 点 及 分 类 ， 常 用 的 防火 墙 技术 ( 包 过 
滤 技 术 、 应 用 代理 技术 、 状 态 监视 技术 )， 防 火 墙 的 体系 结构 。 
@ 了 解 选择 防火 墙 的 基本 原则 和 注意 事项 ， 防 火 墙 技术 的 发 展 趋势 。 


6.1 防火 墙 基本 概念 与 分 类 


随 着 Internet 的 日 益 普及 , 有 越 来 越 多 的 企 事业 单位 开始 通过 互联 网 发 展业 务 和 提供 服 
务 。 然 而 ， 在 互联 网 为 企 事业 单位 提供 方便 的 同时 ， 由 于 其 自身 的 开放 性 ， 也 带 来 了 潜在 
的 安全 威胁 。 目 前 ， 黑 客 对 网 络 的 攻击 方法 已 经 有 几 千 种 ， 而 且 大 多 数 具 有 严重 的 威胁 性 。 
全 世界 现 有 20 多 万 个 黑客 网 站 。 每 当 一 种 新 的 网 络 攻击 手段 出 现 ， 一 周 之 内 便 可 通过 互联 
网 传 遍 全 世界 。 在 不 断 扩大 的 计算 机 网 络 空间 中 ， 几 乎 到 处 都 有 黑客 的 踪影 ， 无 处 不 遭受 
黑客 的 攻击 。 

这 些 安全 威胁 极 大 地 损害 了 人 们 对 互联 网 的 信心 ， 从 而 影响 了 Intemet 发 挥 更 大 的 作 
用 。 因 为 没有 有 效 的 安全 保护 ， 很 多 企 事 业 单 位 放 绥 了 将 部 分 业务 或 服务 转移 到 网 上 的 步 
伐 ， 极 大 地 降低 了 工作 效率 。 因 此 ， 如 何 能 够 为 本 组 织 的 网 络 提供 尽 可 能 强大 的 安全 防护 
就 成 为 各 企 事业 单位 的 关注 焦点 。 在 这 种 情况 下 ， 防 火 墙 进入 了 人 们 的 视野 。 


6.1.1 防火 墙 基本 概念 
1. 防火 墙 的 概念 


如 果 一 个 网 络 连 接 到 Intemet， 其 内 部 用 户 就 可 以 访问 外 部 世界 并 与 之 通信 ， 同 时 ， 外 
部 世界 也 可 以 访问 该 网 络 并 与 之 交互 。 为 保证 系统 安全 , 就 需要 在 该 网 络 和 Intemet 之 间 插 
入 一 个 中 介 系 统 ， 竖 起 一 道 安全 屏障 ， 以 阻挡 来 自 外 部 网 络 对 本 网 络 的 威胁 和 入 侵 ， 这 种 
中 介 系 统称 为 “防火 墙 ”或 “防火 墙 系统 ”。 

防火 墙 是 指 设置 在 不 同 网 络 (如 企业 内 部 网 和 公共 网 ) 或 网 络 安全 域 之 间 的 一 系列 部 件 
的 组 合 ， 它 是 不 同 网 络 或 网 络 安全 域 之 间 信 息 的 唯一 出 入 口 ， 能 根据 企业 的 安全 策略 控制 
(人 允许、 拒绝、 监测 ) 出 入 网 络 的 信息 流 ， 且 其 本 身 具 有 较 强 的 抗 攻 击 能 力 ， 是 提供 信息 安 
全 服务 、 实 现 网 络 和 信息 安全 的 基础 设施 。 

从 实现 方式 上 来 看 ， 防 火 墙 可 以 分 为 硬件 防火 墙 和 软件 防火 墙 两 类 。 硬 件 防火 墙 是 通 
过 硬件 和 软件 的 结合 来 达到 隔离 内 、 外 部 网 络 的 目的 ， 软 件 防 火 墙 则 通过 纯 软 件 的 方式 来 


实现 。 
从 逻辑 上 来 看 ， 防 火 墙 是 一 个 分 离 器 、 一 个 限制 器 ， 也 是 一 个 分 析 器 。 它 能 有 效 地 监 
控 内 部 网 和 Intemet 之 间 的 任何 活动 ， 保 障 内 部 网 络 的 安全 ， 防 火 墙 示意 图 如 图 6.1 所 示 。 


图 6.1 防火 墙 示意 图 


2. 其 他 概念 


以 下 是 几 个 有 关 防 火 墙 的 常用 概念 。 

(1) 外 部 网 络 (外 网 )。 防 火 墙 之 外 的 网 络 ， 一 般 为 mntemet， 默 认为 风险 区 域 。 

(2) 内 部 网 络 (内 网 )]。 防 火 墙 之 内 的 网 络 ， 一 般 为 局 域 网 ， 默 认为 安全 区 域 。 

(3) 包 过 滤 。 也 称 为 数据 包 过 滤 ， 是 依据 系统 事先 设 定 好 的 过 滤 规 则 ， 检 查 数据 流 中 
的 每 个 数据 包 , 根据 数据 包 的 源 地 址 、 目 标 地 址 及 端口 等 信息 来 确定 是 否 允 许 数据 包 通 过 。 

(4) 代理 服务 器 。 它 是 指 代表 内 部 网 络 用 户 向 外 部 网 络 中 的 服务 器 进行 连接 请 求 的 程序 。 

(5) 状态 检测 技术 。 这 是 第 三 代 网 络 安全 技术 。 状 态 检测 模块 在 不 影响 网 络 安 全 正常 
工作 的 前 提 下 ， 采 用 抽取 相关 数据 的 方法 对 网 络 通信 的 各 个 层次 实行 检测 ， 并 作为 安全 决 
策 的 依据 。 

(6) 虚拟 专用 网 (VPN)。 这 是 一 种 在 公用 网 络 中 配置 的 专用 网 络 。 

(7) 漏洞 。 这 是 系统 中 的 安全 缺陷 ， 漏 洞 可 以 导致 入 侵 者 获取 信息 并 导致 不 正确 的 
访问 。 

(8) 数据 驱动 攻击 。 入 侵 者 把 一 些 具 有 破坏 性 的 数据 藏匿 在 普通 数据 中 传送 到 Internet 
主机 上 ， 当 这 些 数据 被 激活 时 就 会 发 生 数 据 驱动 攻击 。 例 如 ， 修 改 主机 中 与 安全 有 关 的 文 
件 ， 留 下 更 容易 进入 系统 的 后 门 程序 等 。 

(9) 下 地 址 欺骗 。 突破 防 火 墙 系统 最 常用 的 方法 是 人 P 地 址 欺骗 , 它 同 时 也 是 其 他 一 系 
列 攻击 方法 的 基础 。 入 侵 者 利用 伪造 的 人 P 地 址 发 送 虚 假 的 数据 包 ， 乔装 成 来 自 内 部 网 的 数 
据 ， 这 种 类 型 的 攻击 非常 危险 。 
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6.1.2 防火墙 的 作用 


防火 墙 能 够 隔离 风险 区 域 与 安全 区 域 ， 但 不 会 妨碍 人 们 对 风险 区 域 的 访问 。 防 火 墙 的 
作用 是 监控 进出 网 络 的 信息 ， 仅 让 安全 的 、 符 合 规则 的 信息 进入 内 部 网 络 ， 为 用 户 提供 一 
个 安全 的 网 络 环境 。 

防火 墙 是 加 强 网 络 安全 非常 流行 的 方法 。 在 Intemet 上 超过 1/3 的 Web 网 站 都 是 用 某 
种 形式 的 防火 墙 加 以 保护 的 ， 这 是 对 黑客 防范 最 严密 、 最 安全 的 一 种 方式 。 任 何 关 键 性 的 
服务 器 ， 都 应 该 放 在 防火 墙 之 后 。 


1. 防火 墙 的 基本 功能 


从 总 体 上 看 ， 防 火 墙 应 具有 以 下 基本 功能 。 

(1) 限制 未 授权 用 户 进入 内 部 网 络 ， 过 滤 掉 不 安全 的 服务 和 非法 用 户 。 
(2) 防止 入 侵 者 接近 内 部 网 络 的 防御 设施 ， 对 网 络 攻击 进行 检测 和 报警 。 
(3) 限制 内 部 用 户 访问 特殊 站 点 。 

(4) 记录 通过 防火 墙 的 信息 内 容 和 活动 ， 为 监视 Internet 安全 提供 方便 。 


2. 防火 墙 的 特性 


一 个 好 的 防火 墙 系统 应 具有 以 下 特性 。 

(1) 所 有 在 内 部 网 络 和 外 部 网 络 之 间 传输 的 数据 都 必须 通过 防火 墙 。 

(2) 只 有 被 授权 的 合法 数据 ， 即 防火 墙 安全 策略 允许 的 数据 ， 才 可 以 通过 防火 墙 。 

(3) 防火 墙 本 身 具有 预防 入 侵 的 功能 ， 不 受 各 种 攻击 的 影响 。 

(4) 人 机 界面 良好 ， 用 户 配置 使 用 方便 ， 易 管理 。 系 统管 理 员 可 以 对 防火 墙 进行 设置 ， 
对 Internet 的 访问 者 、 被 访问 者 、 访 问 协议 及 访问 方式 进行 控制 。 

3. 防火 墙 与 病毒 防火 墙 的 区 别 

“病毒 防火 墙 ” 是 与 网 络 防火 墙 不 同 范畴 的 软件 ， 但 由 于 有 着 “防火 墙 ” 的 名 字 ， 容 
易 引 起 混淆 。 实 际 上 ， 这 两 种 产品 之 间 存 在 本 质 的 区 别 。 

(1) “病毒 防火 墙 ” 应 该 称 为 “病毒 实时 检测 和 清除 系统 ”， 是 反 病毒 软件 的 一 种 工 
作 模 式 。 当 它 运行 时 ， 会 把 病毒 监控 程序 驻 留 在 内 存 中 ， 随 时 检查 系统 中 是 否 有 病毒 ， 一 
旦 发 现 有 携带 病毒 的 文件 ， 就 会 马上 激活 杀毒 模块 。 

可 以 看 出 ， 病 毒 防火 墙 不 是 对 进出 网 络 的 病毒 进行 监控 ， 而 是 对 所 有 的 系统 应 用 程序 
进行 监控 ， 由 此 来 保障 用 户 系统 的 “无 毒 ”环境 。 

(2) 网 络 防火 墙 并 不 监控 全 部 的 系统 应 用 程序 ， 它 只 对 存在 网 络 访问 的 那 部 分 应 用 程 
序 进 行 监控 。 利 用 网 络 防火 墙 ， 可 以 有 效 地 管理 用 户 系统 的 网 络 应 用 ， 同 时 保护 系统 不 被 
各 种 非法 的 网 络 攻击 所 伤害 。 

可 以 看 出 ， 网 络 防 火 墙 的 主要 功能 是 预防 黑客 入 侵 ， 防 止 木马 盗 取 机 密 信 息 。 病 毒 防 
火 墙 是 一 种 反 病毒 软件 ， 主 要 功能 是 查 杀 本 地 病毒 、 木 马 。 两 者 具有 不 同 的 功能 ， 在 安装 
反 病 毒 软件 的 同时 应 该 安装 网 络 防火 墙 。 


6.1.3 防火墙 的 优 、 缺 点 

1. 优点 

防火 墙 是 加 强 网 络 安全 的 一 种 有 效 手段 ， 它 有 以 下 优点 。 

(1) 防火 墙 能 强化 安全 策略 。Intemet 上 每 天 都 有 上 百 万 人 在 浏览 信息 ， 不 可 避免 地 会 
有 一 些 恶意 用 户 试图 攻击 别人 ， 防 火 墙 充 当 了 防止 攻击 现象 发 生 的 “警察 ”， 它 执行 系统 
规定 的 安全 策略 ， 仅 允许 符合 规则 的 信息 通过 。 

(2) 防火 墙 能 有 效 地 记录 Intemet 上 的 活动 。 因 为 所 有 进出 内 部 网 络 的 信息 都 必须 通过 


| 防火墙， 所 以 防火 墙 能 记录 被 保 护 的 内 部 网 络 和 不 安全 的 外 部 网 络 之 间 发 生 的 各 种 事件 。 


(3) 防火 墙 是 一 个 安全 策略 的 检查 站 。 所 有 进出 内 部 网 络 的 信息 都 必须 通过 防火 墙 ， 
防火 墙 便 成 为 一 个 安全 检查 站 ， 把 可 疑 的 访问 拒 之 门 外 。 


2. 缺点 


防火 墙 并 不 是 万 能 的 ， 安 装 了 防火 墙 的 系统 仍然 存在 着 安全 隐患 。 以 下 是 防火 墙 的 一 
些 缺 点 。 

(1) 不 能 防范 恶意 内 部 用 户 。 防 火 墙 可 以 禁止 内 部 用 户 经 过 网 络 发 送 机 密 信 息 ， 但 用 
户 可 以 将 数据 复制 到 磁盘 上 带 出 去 。 如 果 入 侵 者 已 经 进入 防火 墙 内 部 ， 防 火 墙 同样 无 能 为 
力 。 内 部 用 户 可 以 不 经 过 防火 墙 窃取 数据 、 破 坏 硬 件 和 软件 ， 这 类 攻击 占 了 全 部 攻击 的 一 
半 以 上 。 

(2) 不 能 防范 不 通过 防火 墙 的 连接 。 防 火 墙 能 够 有 效 地 防范 通过 它 传输 的 信息 ， 却 不 
能 防范 不 通过 它 传输 的 信息 。 例如， 如 果 站 点 允许 对 防火 墙 后 面 的 内 部 系统 进行 拨号 访问 ， 
那么 防火 墙 绝对 没有 办 法 阻止 入 侵 者 进行 拨号 入 侵 。 

(3) 不 能 防范 全 部 的 威胁 。 防 火 墙 被 用 来 防范 已 知 的 威胁 ， 性 能 良好 的 防火 墙 设计 方 
案 可 以 防范 某 些 新 的 威胁 ， 但 没有 一 个 防火 墙 能 自动 防御 所 有 新 的 威胁 。 

(4) 防火 墙 不 能 防范 病毒 。 防 火 墙 不 能 防范 从 网 络 上 传染 来 的 病毒 ， 也 不 能 消除 计算 
机 已 存在 的 病毒 。 无 论 防火 墙 多 么 安全 ， 都 需要 用 户 有 一 套 防 毒 软件 来 防范 病毒 。 


6.1.4 防火 墙 分 类 


防火 墙 的 分 类 方式 有 很 多 种 。 根 据 受 保护 的 对 象 不 同 ， 可 以 分 为 网 络 防火 墙 和 单机 防 
火 墙 ， 根据 防火 墙 主要 部 分 的 形态 不 同 ， 可 以 分 为 软件 防火 墙 和 硬件 防火 墙 ， 根 据 防火 墙 
使 用 的 对 象 不 同 ， 可 以 分 为 企业 级 防火 墙 和 个 人 防火 墙 ， 根 据 防 火 墙 检查 数据 包 的 位 置 不 
同 ， 可 以 分 为 包 过 滤 防 火 墙 、 应 用 代理 防火 墙 和 状态 检测 防火 墙 。 

1. 网 络 防火 墙 和 单机 防火 墙 

网 络 防火 墙 是 指 用 来 保护 某 个 网 络 安全 的 防火 墙 ， 目 前 的 防火 墙 大 都 是 网 络 防火 墙 。 

单机 防火 墙 主要 是 为 了 保护 单独 主机 而 设计 的 防火 墙 。 

一 般 说 来 ， 为 了 保护 网 络 中 的 主机 安全 ， 人 们 大 多 选用 网 络 防火 墙 。 但 对 于 网 络 中 一 
些 重 要 的 主机 ， 也 需要 给 它们 加 装 单机 防火 墙 。 


第 6 章 防火 二 放 术 @@ 


2. 软件 防火 墙 和 硬件 防火 墙 


软件 防火 墙 是 指 防火 墙 的 所 有 组 件 都 为 软件 ， 不 需要 专用 的 硬件 设备 ，Check Point 公 
司 的 Firewall-1 就 是 这 样 一 种 防火 墙 。 而 硬件 防火 墙 则 需要 专用 的 硬件 设备 ， 目 前 国内 的 
防火 墙 基本 上 属于 这 一 类 型 。 


3. 企业 级 防火 墙 和 个 人 防火 墙 


企业 级 防火 墙 主要 为 企业 上 网 服务 。 它 能 够 进行 复合 分 层 保护 ， 支 持 大 规模 本 地 和 远 
程 管理 , 同时 和 VPN 相 结合 , 从 而 扩展 了 安全 联网 基础 设施 , 并 且 可 以 应 用 于 大 规模 网 络 。 
这 类 防火 墙 提供 了 功能 强大 、 操 作 灵 活 的 认证 功能 ， 人 允许 企业 配置 它们 对 现 有 的 数据 库 进 
行 安全 传送 ， 并 且 充 分 利用 网 络 带宽 ， 提 供 负 载 均衡 的 能 力 。 

而 个 人 防火 墙 主要 是 为 了 防护 个 人 的 主机 ， 一 般 就 是 前 面 所 述 的 单机 防火 墙 。 其 功能 
一 般 较 简单 。 

4. 包 过 滤 防 火 墙 、 应 用 代理 防火 墙 和 状态 检测 防火 墙 

这 种 分 类 方法 是 最 主要 、 最 基本 的 一 种 分 类 方法 。 其 分 类 依据 是 防火 墙 检查 点 的 位 置 。 

(1) 包 过 滤 防 火 墙 是 在 网 络 层 对 数据 包 进行 选择 ， 选 择 的 依据 是 系统 内 设置 的 访问 控 
制 表 (Access Control Table)。 通 过 检查 数据 流 中 每 个 数据 包 的 源 地 址 、 目 的 地 址 、 所 用 的 端 
口号 、 协 议 状 态 等 因素 或 其 组 合 ， 来 确定 是 否 允许 该 数据 包 通 过 。 这 种 防火 墙 逻辑 简单 ， 
价格 便宜 ， 易 于 安装 和 使 用 ， 网 络 性 能 和 透明 性 好 。 然 而 ， 非 法 访问 一 旦 突破 防火 墙 ， 即 
可 对 主机 上 的 软件 和 配置 漏洞 进行 攻击 ; 同时 ， 数 据 包 的 源 地 址 、 目 的 地 址 以 及 人 P 的 端口 
号 都 在 数据 包 的 头 部 ， 很 有 可 能 被 窃听 或 假冒 。 

(2) 应 用 代理 防火 墙 是 内 网 与 外 网 的 隔离 点 ， 能 够 监视 和 隔绝 应 用 层 通信 流 ， 同 时 也 
常 结合 包 过 滤器 功能 。 应 用 代理 防火 墙 工作 在 OSI 模型 的 最 高 层 ， 掌 握 着 应 用 系统 中 可 用 
作 安 全 决策 的 全 部 信息 。 此 类 防火 墙 的 安全 性 比 包 过 滤 防 火 墙 高 , 但 它 的 效率 则 相对 较 低 。 

(3) 状态 检测 防火 墙 把 包 过 滤 的 快速 性 和 应 用 代理 的 安全 性 很 好 地 结合 在 一 起 ， 目 前 
已 经 是 防火 墙 最 流行 的 检测 方式 。 

状态 检测 防火 墙 试图 跟踪 通过 防火 墙 的 网 络 连接 和 包 ， 这 样 防火 墙 就 可 以 使 用 一 组 附 
加 的 标准 ， 以 确定 允许 或 拒绝 通信 。 状 态 检 测 防火 墙 是 在 使 用 了 基本 包 过 滤 防 火 墙 的 通信 
基础 上 应 用 一 些 技术 来 做 到 这 一 点 的 。 

状态 检测 防火 墙 不 仅 跟踪 包 中 包含 的 信息 ， 还 能 够 记录 有 用 的 信息 以 帮助 识别 包 ， 如 
已 有 的 网 络 连接 、 数 据 的 传 出 请 求 等 。 

状态 检测 防火 墙 可 截断 所 有 传 入 的 通信 ， 而 允许 所 有 传 出 的 通信 。 因 为 防火 墙 跟踪 内 
部 出 去 的 请 求 ， 所 有 按 要 求 传 入 的 数据 被 允许 通过 ， 直 到 连接 被 关闭 为 止 。 只 有 未 被 请 求 
的 传 入 通信 被 截断 。 


6.2 ”防火墙 技术 


随 着 防火 墙 技术 的 不 断 发 展 ， 目 前 应 用 的 防火 墙 技术 主要 有 包 过 滤 技 术 、 应 用 代理 技 


6.2.1 包 过 滤 技 术 
1. 包 过 滤 技 术 简 介 


包 过 滤 (Packet Filtering) 技 术 依 据 系统 事先 设 定 好 的 过 滤 规 则 , 检查 数据 流 中 的 每 个 包 ， 
根据 包头 信息 来 确定 是 否 允 许 数据 包 通 过 ， 并 拒绝 发 送 可 疑 的 数据 包 。 

使 用 包 过 滤 技 术 的 防火 墙 叫 作 包 过 滤 防 火 墙 Packet FilteD， 因 为 它 工作 在 网 络 层 ， 又 
叫 网 络 层 防火 墙 (Network Level Firewall)。 

包 过 滤 技 术 的 依据 是 分 包 传 输 技 术 。 网 络 上 的 数据 都 是 以 包 为 单位 进行 传输 的 ， 数 据 
被 分 割 成 一 定 大 小 的 包 ， 每 个 包 分 为 包头 和 数据 两 部 分 ， 包 头 中 含有 源 地 址 和 目的 地 址 等 
信息 。 路 由 器 从 包头 中 读 取 目的 地 址 并 选择 一 条 物理 线路 发 送出 去 ， 当 所 有 的 包 抵达 后 会 
在 目的 地 重新 组 装 还 原 。 

包 过 滤 防 火 墙 一 般 由 屏蔽 路 由 器 (Screening Router, 也 称 为 过 滤 路 由 器 ) 来 实现 , 这 种 路 
由 器 在 普通 路 由 器 的 基础 上 加 入 人 P 过 滤 功能 ， 是 防火 墙 最 基本 的 构件 ， 包 过 滤 防 火 墙 工作 


原理 如 图 6.2 所 示 。 
i 一 S 
只 检查 报 尖 


图 6.2 包 过 滤 防 火 墙 工作 原理 


包 过 滤 防 火 墙 读 取 包 头 信息 ， 与 信息 过 滤 规 则 相 比 较 ， 按 顺序 检查 规则 表 中 的 每 一 条 
规则 ， 直 至 发 现 包 中 的 信息 与 某 条 规则 相符 。 如 果 有 一 条 规则 不 允许 发 送 某 个 包 ， 路 由 器 
就 将 它 丢 弃 ; 如果 有 一 条 规则 允许 发 送 某 个 包 ， 路 由 器 就 将 它 发 送 ， 如 果 没 有 任何 一 条 规 
则 能 符合 ， 路 由 器 就 会 使 用 默认 规则 ， 一 般 情 况 下 ， 默 认 规则 就 是 禁止 该 包 通 过 。 

屏蔽 路 由 器 是 一 种 价格 较 高 的 硬件 设备 。 如 果 网 络 不 是 很 大 ， 可 以 由 一 台 PC 装 上 相 
应 的 软件 (如 KarlBridge、DrawBridge) 来 实现 包 过 滤 功 能 。 


2. 包 过 滤 防火 墙 的 优点 


包 过 滤 防 火 墙 具 有 明显 的 优点 。 

(1) 一 个 屏蔽 路 由 器 能 保护 整个 网 络 。 一 个 恰当 配置 的 屏蔽 路 由 器 连接 内 部 网 络 与 外 
部 网 络 ， 进 行 数据 包 过 滤 ， 就 可 以 取得 较 好 的 网 络 安全 效果 。 

(2) 包 过 滤 对 用 户 透 明 。 包 过 滤 不 要 求 任何 客户 机 配置 ， 当 屏蔽 路 由 器 决定 让 数据 包 
通过 时 ， 它 与 普通 路 由 器 没什么 区 别 ， 用 户 感觉 不 到 它 的 存在 。 较 强 的 透明 度 是 包 过 滤 的 
一 大 优势 。 

G) 屏蔽 路 由 器 速度 快 、 效 率 高 屏蔽 路 由 器 只 检查 包头 信息 ， 一 般 不 查看 数据 部 分 ， 
而 且 某 些 核心 部 分 是 由 专用 硬件 实现 的 ， 故 其 转发 束 度 快 、 效 率 较 高 ， 通 常 作为 网 络 安全 
的 第 一 道 防线 。 

3. 包 过 滤 防 火 墙 的 缺点 

CD， 屏蔽 路 由 器 的 缺点 也 是 很 明显 的 ， 通 常 它 不 保存 用 户 的 使 用 记录 ， 这 样 就 不 能 从 
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访问 记录 中 发 现 黑客 的 攻击 记录 。 

(2) 配置 烦琐 也 是 包 过 滤 防 火 墙 的 一 个 缺点 。 没 有 一 定 的 经 验 ， 是 不 可 能 将 过 滤 规 则 
配置 完美 的 。 有 些 的 时 候 ， 因 为 配置 错误 ， 防 火 墙根 本 就 不 起 作用 。 

(3) 包 过 滤 的 另 一 个 弱点 就 是 不 能 在 用 户 级 别 上 进行 过 滤 ， 只 能 认为 内 部 用 户 是 可 信 
任 的 、 外 部 用 户 是 可 疑 的 。 

(4) 单纯 由 屏蔽 路 由 器 构成 的 防火 墙 并 不 十 分 安全 ， 一 旦 屏蔽 路 由 器 被 攻陷 就 会 对 整 
个 网 络 产生 威胁 。 


4. 包 过 滤 防火 墙 的 发 展 阶段 


(1) 第 一 代 : 静态 包 过 滤 防 火 墙 。 第 一 代 包 过 滤 防 火 墙 与 路 由 器 同时 出 现 ， 实 现 了 根 
据 数据 包头 信息 的 静态 包 过 滤 ， 这 是 防火 墙 的 初级 产品 。 静 态 包 过 滤 防 火 墙 对 所 接收 的 每 
个 数据 包 审查 包头 信息 ， 以 便 确 定 其 是 否 与 某 一 条 包 过 滤 规 则 相 匹配 ， 然 后 做 出 允许 通过 
或 者 拒绝 通过 的 决定 。 

(2) 第 二 代 : 动态 包 过 滤 (Dynamic Packet Filter) 防 火 墙 。 此 类 防火 墙 采用 动态 设置 包 
过 滤 规 则 的 方法 ， 避 免 了 静态 包 过 滤 所 存在 的 问题 。 动 态 包 过 滤 只 有 在 用 户 的 请 求 下 才 打 
开端 口 ， 并 且 在 服务 完毕 后 关闭 端口 ， 从 而 降低 受到 与 开放 端口 相关 的 攻击 的 可 能 性 。 防 
火 墙 可 以 动态 地 决定 哪些 数据 包 可 以 通过 内 部 网 络 的 链 路 和 应 用 程序 层 服 务 ， 用 户 可 以 配 
置 相应 的 访问 策略 ， 只 有 在 允许 范围 内 才 自 动 打开 端口 ， 当 通信 结束 时 关闭 端口 。 

这 种 方法 在 两 个 方向 上 都 将 暴露 端口 的 数量 减少 到 最 小 ， 给 网 络 提供 更 高 的 安全 性 。 
对 于 许多 应 用 程序 协议 而 言 ， 如 媒体 流 ,动态 人 P 包 过 滤 提 供 了 处 理 动态 分 配 端口 的 最 安全 
方法 。 

(3) 第 三 代 : 全 状态 检测 (Stateful Inspectiom) 防 火 墙 。 第 三 代 包 过 滤 类 防火 墙 采用 状态 
检测 技术 ， 在 包 过 滤 的 同时 ， 检 查 数据 包 之 间 的 关联 性 ， 检 查 数据 包 中 动态 变化 的 状态 码 。 
它 有 一 个 监测 引擎 ， 能 够 抽取 有 关 数 据 ， 从 而 对 网 络 通信 的 各 层 实 施 监 测 ， 并 动态 地 保存 
状态 信息 作为 以 后 执行 安全 策略 的 参考 。 当 用 户 访问 请 求 到 达 网 关 的 操作 系统 前 ， 状 态 监 
视 器 要 抽取 有 关 数 据 进行 分 析 ， 结 合 网 络 配置 和 安全 规定 作出 接纳 、 拒 绝 、 身 份 认 证 、 报 
警 或 给 该 通信 加 密 等 操作 。 

状态 检测 防火 墙 保留 状态 连接 表 ， 并 将 进出 网 络 的 数据 当成 一 个 个 会 话 ， 利 用 状态 表 
跟踪 每 一 个 会 话 状 态 。 状 态 监 测 对 每 一 个 包 的 检查 不 仅 根 据 规则 表 ， 更 考虑 了 数据 包 是 否 
符合 会 话 所 处 的 状态 ， 因 此 提供 了 完整 的 对 传输 层 的 控制 能 力 。 

状态 检测 技术 在 大 大 提高 安全 防范 能 力 的 同时 也 改进 了 流量 处 理 速 度 ， 使 防火 墙 性 能 
大 幅度 提升 ， 因 而 能 应 用 在 各 类 网 络 环境 中 ， 尤 其 是 在 一 些 规 则 复杂 的 大 型 网 络 上 。 

(4) 第 四 代 : 深度 包 检 测 (Deep Packet Inspection) 防 火 墙 。 状 态 检 测 防 火 墙 的 安全 性 得 
到 了 一 定 程度 的 提高 ,但 是 在 对 付 DDoS( 分 布 式 拒绝 服务 ) 攻 击 、 实 现 应 用 层 内 容 过 滤 、 病 
毒 过 滤 等 方面 的 表现 还 不 能 尽 如 人 意 。 

面 对 新 形势 下 的 蠕虫 病毒 、DDoS 攻击 、 垃 圾 邮件 泛滥 等 严重 威胁 ， 最 新 一 代 包 过 滤 
防火 墙 采用 了 深度 包 检 测 技术 。 深 度 包 检 测 技术 融合 入 侵 检测 和 攻击 防范 两 方面 功能 ， 不 
仅 能 深入 检查 信息 包 ， 查 出 恶意 行为 ， 还 可 以 根据 特征 检测 和 内 容 过 滤 ， 来 寻找 已 知 的 攻 
击 ， 同 时 能 阻止 异常 访问 。 深 度 包 检测 引擎 以 基于 指纹 匹配 、 启 发 式 技术 、 异 常 检测 及 统 


计 学 分 析 等 技术 来 决定 如 何 处 理 数据 包 。 深 度 包 检 测 防火 墙 能 阻止 DDos 攻击 、 病 毒 传播 
和 高 级 应 用 入 侵 等 问题 。 
6.2.2 ”应 用 代理 技术 

1. 代理 服务 器 简介 


代理 服务 器 (Proxy ServeD 是 指 代表 内 网 用 户 向 外 网 服务 器 进行 连接 请 求 的 服务 程序 。 
代理 服务 器 运行 在 两 个 网 络 之 间 ， 它 对 于 客户 机 来 说 像 是 一 台 真 正 的 服务 器 ， 而 对 于 外 网 


| 的 服务 器 来 说 ， 它 又 是 一 台 客户 机 。 


代理 服务 器 的 基本 工作 过 程 是 ， 当 客户 机 需要 使 用 外 网 服务 器 上 的 数据 时 ， 首 先 将 请 
求 发 给 代理 服务 器 ， 代 理 服务 器 再 根据 这 一 请 求 向 服务 器 索取 数据 ， 然 后 再 由 代理 服务 器 
将 数据 传输 给 客户 机 。 

同 理 ， 代 理 服务 器 在 外 部 网 络 向 内 部 网 络 申请 服务 时 也 发 挥 了 中 间 转 接 的 作用 ， 代 理 
防火 墙 工作 原理 如 图 6.3 所 示 。 


2 司 
一 一 和 
和 一 一 TCP 二 == - 
| 在 三 三 | 只 检查 数据 


图 6.3 代理 防火 墙 工作 原理 示意 图 


内 网 只 接受 代理 服务 器 提出 的 服务 请 求 ， 拒 绝 外 网 的 直接 请 求 。 当 外 网 向 内 网 的 某 个 
节点 申请 某 种 服务 (如 FTP、Telnet、WWAW 等 ) 时 ， 先 由 代理 服务 器 接受 ， 然 后 代理 服务 器 
根据 其 服务 类 型 、 服 务 内 容 、 被 服务 的 对 象 等 ， 决 定 是 否 接受 此 项 服务 。 如 果 接 受 ， 就 由 
代理 服务 器 向 内 网 转发 这 项 请 求 ， 并 把 结果 反馈 给 申请 者 。 

可 以 看 出 ， 由 于 外 部 网 络 与 内 部 网 络 之 间 没 有 直接 的 数据 通道 ， 外 部 的 恶意 入 侵 也 就 
很 难 伤 害 到 内 网 。 

代理 服务 器 通常 拥有 高 速 缓存 ， 缓 存 中 存 有 用 户 经 常 访问 站 点 的 内 容 ， 在 下 一 个 用 户 
要 访问 同样 的 站 点 时 ， 服 务 器 就 不 必 重 复读 取 同 样 的 内 容 ， 既 节约 了 时 间 也 节约 了 网 络 
资源 。 

2. 应 用 代理 的 优点 


(1) 应 用 代理 易于 配置 。 因 为 代理 是 一 个 软件 ， 所 以 比 过 滤 路 由 器 容易 配置 。 如 果 代 
理 实现 得 好 ， 可 以 对 配置 协议 要 求 较 低 ， 从 而 避免 了 配置 错误 。 

(2) 应 用 代理 能 生成 各 项 记录 。 因 代理 在 应 用 层 检 查 各 项 数据 ， 所 以 可 以 按 一 定 准 则 
让 代理 生成 各 项 日 志 、 记 录 。 这 些 日 志 、 记 录 对 于 流量 分 析 、 安 全 检验 是 十 分 重要 和 宝 
贵 的 。 

(G3) 应 用 代理 能 灵活 、 完 全 地 控制 进出 信息 。 通 过 采取 一 定 的 措施 ， 按 照 一 定 的 规则 ， 
可 以 借助 代理 实现 一 整套 的 安全 策略 ， 控 制 进出 信息 。 

(4) 应 用 代理 能 过 滤 数 据 内 容 。 可 以 把 一 些 过 渡 规 则 应 用 于 代理 ， 让 它 在 应 用 层 实现 
过 滤 功 能 。 
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3. 应 用 代理 的 缺点 


(1) 应 用 代理 速度 比 路 由 器 慢 。 路 由 器 只 是 简单 查看 包头 信息 ， 不 作 详 细 分 析 、 记 录 ; 
而 代理 工作 于 应 用 层 ， 要 检查 数据 包 的 内 容 ， 按 特定 的 应 用 协议 对 数据 包 内 容 进行 审查 、 
扫描 ， 并 转发 请 求 或 响应 ， 故 其 速度 比 路 由 器 慢 。 

(2) 应 用 代理 对 用 户 不 透明 。 许 多 代理 要 求 客户 端 作 相应 改动 或 定制 ， 因 而 增加 了 不 
透明 度 。 为 内 部 网 络 的 每 一 台 主 机 安装 和 配置 特定 的 客户 端 软 件 既 耗费 时 间 ， 又 容易 出 错 。 

G) 对 于 每 项 服务 ， 应 用 代理 可 能 要 求 不 同 的 服务 器 。 因 此 可 能 需要 为 每 项 协议 设置 
一 个 不 同 的 代理 服务 器 ， 挑 选 、 安 装 和 配置 所 有 这 些 不 同 的 服务 器 是 一 项 繁重 的 工作 。 

(4) 应 用 代理 服务 通常 要 求 对 客户 或 过 程 进行 限制 。 除 了 一 些 为 代理 而 设置 的 服务 外 ， 
代理 服务 器 要 求 对 客户 或 过 程 进行 限制 ， 每 一 种 限制 都 有 不 足 之 处 ， 人 们 无 法 按 他 们 自己 
的 步骤 工作 。 由 于 这 些 限 制 ， 代 理应 用 就 不 能 像 非 代理 应 用 那样 灵活 运用 。 

(5) 应 用 代理 服务 受 协议 弱点 的 限制 。 每 个 应 用 层 协议 ， 都 或 多 或 少 存在 一 些 安全 隐 
患 ， 对 于 一 个 代理 服务 器 来 说 ， 要 彻底 避免 这 些 安全 隐患 几乎 是 不 可 能 的 ， 除 非 关 掉 这 些 
服务 。 

(6) 应 用 代理 不 能 改进 底层 协议 的 安全 性 。 

4. 应 用 代理 防火 墙 的 发 展 阶段 


(1) 应 用 层 代 理 (Application Proxy)。 应 用 层 代 理 也 被 为 应 用 层 网 关 (Application Level 
Gateway)， 这 种 防火 墙 的 工作 方式 同 包 过 滤 防 火 墙 的 工作 方式 具有 本 质 区 别 。 

代理 服务 是 运行 在 防火 墙 主机 上 的 、 专 门 的 应 用 程序 或 者 服务 器 程序 。 应 用 层 代 理 为 
某 个 特定 应 用 服务 提供 代理 ， 它 对 应 用 协议 进行 解析 并 解释 应 用 协议 的 命令 。 根 据 其 处 理 
协议 的 功能 可 分 为 FTP 网 关 型 防火 墙 、Telnet 网 关 型 防火 墙 、 WWW 网 关 型 防火 墙 等 。 

(2) 电路 层 代 理 (Circuit Proxy) 。 另 一 种 类 型 的 代理 技术 称 为 电路 层 网 关 (Circuit 
Gateway)， 也 称 为 电路 级 代理 服务 器 。 在 电路 层 网 关中 ， 包 被 提交 到 用 户 应 用 层 处 理 。 电 
路 层 网 关 用 来 在 两 个 通信 的 终点 之 间 转 换 包 。 

在 电路 层 网 关中 ， 可 能 要 安装 特殊 的 客户 机 软件 ， 用 户 需要 一 个 可 变 接口 来 相互 作用 
或 改变 他 们 的 工作 习惯 。 

电路 层 代 理 适 用 于 多 个 协议 ， 但 无 法 解释 应 用 协议 ， 需 要 通过 其 他 方式 来 获得 信息 。 
所 以 ， 电 路 级 代理 服务 器 通常 要 求 修 改 用 户 程序 。 其 中 ， 套 接 字 服 务 器 (Sockets Server) 就 是 
电路 级 代理 服务 器 。 套 接 字 (Sockets) 是 一 种 网 络 应 用 层 的 国际 标准 。 当 内 网 客户 机 需要 与 
外 网 交互 信息 时 ， 在 防火 墙 上 的 套 接 字 服务 器 检查 客户 的 UserID、 卫 源 地 址 和 IP 目的 地 
址 ， 经 过 确认 后 ， 套 接 字 服 务 器 才 与 外 部 的 服务 器 建立 连接 。 对 用 户 来 说 ， 内 网 与 外 网 的 
信息 交换 是 透明 的 ,感觉 不 到 防火 墙 的 存在 ,这 是 因为 Internet 用 户 不 需要 登录 到 防火 墙 上 。 
但 是 客户 端的 应 用 软件 必须 支持 Socketsifide API, 内 部 网 络 用 户 访问 外 部 网 所 使 用 的 下 地 
址 也 都 是 防火 墙 的 他 地址 。 

(3) 自 适 应 代理 (Adaptive Proxy)。 应 用 层 代理 的 主要 问题 是 速度 慢 ， 支 持 的 并 发 连接 
数 有 限 。 因 此 ，NAI 公司 在 1998 年 又 推出 了 具有 自 适 应 代理 特性 的 防火 墙 。 

自 适应 代理 不 仅 能 维护 系统 安全 ， 还 能 够 动态 “适应 ”传送 中 的 分 组 流量 。 它 能 根据 
具体 需求 ， 定 义 防火 墙 策略 ， 而 不 会 牺牲 速度 或 安全 性 。 如 果 对 安全 要 求 较 高 ， 则 最 初 的 


安全 检查 仍 在 应 用 层 进行 ， 保 证 实现 传统 代理 防火 墙 的 最 大 安全 性 。 而 一 旦 代理 明确 了 会 
话 的 所 有 细节 ， 其 后 的 数据 包 就 可 以 直接 经 过 速度 更 快 的 网 络 层 。 

自 适 应 代理 可 以 和 安全 脆弱 性 扫描 器 、 病 毒 安全 扫描 器 和 入 侵 检测 系统 之 间 实 现 更 加 
灵活 的 集成 。 作 为 自 适 应 安全 计划 的 一 部 分 ， 自 适应 代理 将 允许 经 过 正确 验证 的 设备 在 安 
全 传感器 和 扫描 器 发 现 重 要 的 网 络 威胁 时 ， 根 据 防 火 墙 管理 员 事 先 确定 的 安全 策略 ， 自 动 
“适应 ”防火 墙 级 别 。 


6.2.3 ”状态 检测 技术 

1. 状态 检测 技术 简介 

状态 监视 (Stateful Inspectiom) 是 由 CheckPoint 公司 于 1993 年 提出 的 ， 它 是 防火 墙 技术 
的 一 项 突破 性 变革 ， 把 包 过 滤 的 快速 性 和 代理 的 安全 性 很 好 地 结合 在 一 起 ， 目 前 已 经 是 防 
火 墙 最 流行 的 检测 方式 。 状 态 检测 技术 克服 了 以 上 两 种 技术 的 缺点 ， 引 入 了 OSI 全 7 层 监 
测 能 力 ， 同 时 又 能 保持 Client/Server 的 体系 结构 ， 也 即 对 用 户 访问 是 透明 的 。 

与 包 过 滤 防 火 墙 相 比 ， 状 态 检测 防火 墙 判断 的 依据 也 是 源 人 P 地 址 、 目 的 PP 地 址 、 源 
端口 、 目 的 端口 和 通信 协议 等 。 与 包 过 滤 防 火 墙 不 同 的 是 ， 状 态 检测 防火 墙 是 基于 会 话 信 
息 做 出 决策 的 ， 而 不 是 包 的 信息 ; 状态 检测 防火 墙 验证 进来 的 数据 包 时 ， 判 断 当 前 数据 包 
是 否 符合 允许 的 会 话 ,并 在 状态 表 中 保存 这 些 信 息 。 状 态 检测 防火 墙 还 能 阻止 基于 异常 TCP 
的 网 络 层 的 攻击 行为 。 网 络 设 备 ， 比 如 路 由 器 ， 会 将 数据 包 分 解 成 更 小 的 数据 帧 ， 因 此 ， 
状态 检测 设备 通常 需要 将 人 P 数据 帧 按 其 原来 顺序 组 装 成 完整 的 数据 包 。 状 态 检 测 防火 墙 工 


作 原 理 如 图 6.4 所 示 。 
外 :- -* | [Re 
[sad ] 


建立 连接 状态 表 


图 6.4 ”状态 检测 防火 墙 工 作 原理 示意 图 


状态 检测 的 根本 思想 是 对 所 有 网 络 数据 建立 “连接 ”的 概念 ， 既 然 是 连接 ， 必 然 是 有 
一 定 顺序 的 ， 通 信 两 边 的 连接 状态 也 是 按 一 定 顺序 进行 变化 的 ， 就 像 打 电话 ， 一 定 要 先 拨 
号 对 方 电话 才能 振 铃 。 防 火 墙 的 状态 检测 就 是 事先 确定 好 连接 的 合法 过 程 模 式 ， 如 果 数 据 
过 程 符合 这 个 模式 ， 则 说 明 数 据 是 合法 的 ， 否 则 就 是 非法 数据 ， 应 该 丢弃 。 

以 下 以 面向 连接 的 TCP 协议 为 例 来 做 具体 说 明 。 

TCP 协议 是 一 个 标准 的 面向 连接 协议 ， 在 真正 通信 前 ， 必 须 按 一 定 协议 先 建立 连接 ， 
连接 建立 好 后 才能 通信 ， 通 信 结 束 后 释放 连接 。 连 接 建立 过 程 称 为 3 次 握手 ， 发 起 方 先 发 
送 带 有 SYN 标志 的 数据 包 到 目的 方 ， 如 果 目 的 方 端口 允许 连接 ， 就 会 回应 一 个 带 SYN 和 
ACK 的 标志 ， 发 起 方 收 到 后 再 发 送 一 个 只 带 ACK 标志 的 数据 包 到 目的 方 ， 目 的 方 收 到 后 
就 可 认为 连接 已 经 正确 建立 。 在 正常 断 开 时 ， 一 方 会 发 送 带 FIN 标志 的 数据 包 到 对 方 ， 表 
示 本 方 已 经 不 会 再 发 送 数据 了 ， 但 还 可 以 接收 数据 ， 对 方 接收 后 还 可 以 发 送 数据 ， 发 送 完 
后 也 会 发 送 带 FIN 标志 的 数据 包 ， 双 方 进入 断 开 状 态 ， 经 过 一 段 时 间 后 连接 彻底 删除 。 如 
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有 异常 情况 则 会 发 送 RST 标志 的 包 来 执行 异常 断 开 ， 而 不 论 是 在 连接 开始 还 是 通信 或 断 开 
由 此 可 见 ，TCP 的 连接 过 程 是 一 个 有 序 过 程 ， 新 连接 一 定 是 通过 SYN 包 来 开始 的 ， 如 
果 防 火 墙 里 没有 相关 连接 信息 ， 就 收 到 非 SYN 包 ， 则 该 包 一 定 是 非法 的 ， 可 以 将 其 扔 掉 ; 
数据 通信 过 程 是 有 方向 性 的 ， 一 定 是 发 起 方 发 送 SYN， 接 收 方 发 送 SYN ACK， 不 是 此 方 
向 的 数据 就 是 非法 的 ， 由 此 状态 检测 可 以 实现 A 可 以 访问 B 而 B 却 不 能 访问 A 的 效果 。 
一 个 连接 可 以 用 协议 、 源 地 址 、 目 的 地 址 、 源 端口 、 目 的 端口 等 5 元 组 来 唯一 确定 。 
2. 状态 检测 防火 墙 的 优点 


状态 检测 防火 墙 的 优点 如 下 。 

(1) 检查 他 包 的 每 个 字段 的 能 力 ， 并 遵从 基于 包 中 信息 的 过 滤 规 则 。 

(2) 识别 带 有 欺骗 性 源 耳 地址 包 。 

(3) 状态 检测 防火 墙 是 两 个 网 络 之 间 访 问 的 唯一 来 源 ， 因 为 所 有 的 通信 必须 通过 防 
火 墙 。 

(4) 基于 应 用 程序 信息 验证 一 个 包 的 状态 ， 如 基于 一 个 已 经 建立 的 FTP 连接 并 允许 返 
回 的 FTP 包 通 过 。 

(5) 基于 应 用 程序 信息 验证 一 个 包 的 状态 ， 如 允许 一 个 先前 认证 过 的 连接 继续 与 被 授 
予 的 服务 通信 。 

(6) 记录 通过 的 每 个 包 的 详细 信息 。 防 火 墙 用 来 确定 包 状态 的 所 有 信息 都 可 以 被 记录 ， 
包括 应 用 程序 对 包 的 请 求 、 连 接 的 持续 时 间 、 内 部 和 外 部 系统 所 做 的 连接 请 求 等 。 


3. 状态 检测 防火 墙 的 缺点 

状态 检测 防火 墙 唯一 的 缺点 就 是 所 有 这 些 记 录 、 测 试 和 分 析 工 作 可 能 会 造成 网 络 连接 
的 某 种 迟滞 ， 特 别 是 在 同时 有 许多 连接 激活 的 时 候 ， 或 者 是 有 大 量 的 过 滤 网 络 通信 的 规则 
存在 时 更 是 如 此 。 

4. 状态 检测 防火 墙 的 发 展 阶段 


1) ”状态 检测 防火 墙 

状态 检测 防火 墙 (Stateful Inspection FirewalD) 又 称 动态 包 过 滤 防 火 墙 ， 它 在 网 络 层 由 一 
个 检查 引擎 截获 数据 包 并 抽取 出 与 应 用 层 状 态 有 关 的 信息 ， 并 以 此 作为 依据 决定 对 该 数据 
包 是 接受 还 是 拒绝 。 检查 引擎 能 自动 生成 动态 的 状态 信息 表 ， 并 对 后 续 的 数据 包 进行 检查 ， 
一 旦 发 现任 何 连 接 的 参数 有 意外 变化 ， 该 连接 就 被 中 止 。 

状态 检测 防火 墙 克 服 了 包 过 滤 防 火 墙 和 应 用 代理 服务 器 的 局 限 性 ， 能 够 根据 协议 、 端 
口 及 源 地 址 、 目 的 地 址 的 具体 情况 决定 是 否 允 许 数 据 包 通过 。 对 于 每 个 安全 策略 允许 的 请 
求 ， 状 态 检测 防火 墙 启动 相应 的 进程 ， 可 以 快速 地 确认 符合 授权 流通 标准 的 数据 包 ， 这 使 
得 其 本 身 的 运行 非常 快速 。 

2) ”深度 检测 防火 墙 

深度 检测 防火 墙 (Deep Inspection FirewalD) 将 状态 检测 和 应 用 防火 墙 技术 结合 在 一 起 ， 
以 处 理应 用 程序 的 流量 ， 防 范 目标 系统 免 受 各 种 复杂 的 攻击 。 由 于 结合 了 状态 检测 的 所 有 
功能 ， 因 此 深度 检测 防火 墙 能 够 对 数据 流量 迅速 完成 网 络 层级 别 的 分 析 ， 并 做 出 访问 控制 
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决策 ， 对 于 允许 的 数据 流 ， 根 据 应 用 层级 别 的 信息 ， 对 负载 做 出 进一步 的 决策 。 
状态 检测 技术 在 大 力 提高 安全 防范 能 力 的 同时 也 改进 了 流量 处 理 速 度 。 状 态 监测 技术 


采用 了 一 系列 优化 技术 ， 使 防火 墙 性 能 大 幅度 提升 ， 能 应 用 在 各 类 网 络 环境 中 ， 尤 其 是 在 
一 些 规则 复杂 的 大 型 网 络 上 。 深度 检测 技术 对 数据 包头 或 有 效 载荷 所 封装 的 内 容 进 行 分 析 ， 
从 而 引导 、 过 滤 和 记录 基于 卫 的 应 用 程序 和 Web 服务 通信 流量 ， 其 工作 并 不 受 协议 种 类 
和 应 用 程序 类 型 的 限制 。 采 用 深度 检测 技术 ， 企 业 网 络 可 以 获得 性 能 上 的 大 幅度 提升 而 无 
须 购买 昂贵 的 服务 器 或 是 其 他 安全 产品 。 
现在 使 用 的 防火 墙 多 是 几 种 技术 的 集成 ， 即 复合 型 防火 墙 。 复 合 型 防火 墙 是 指 综合 了 
| 状态 检测 与 透明 代理 的 新 一 代 的 防火 墙 ， 它 基于 ASIC 架构 ， 把 防 病毒 、 内 容 过 滤 融 合 到 
防火 墙 中 ， 其 中 还 包括 VPN、IDS 功能 ， 多 单元 融 为 一 体 ， 是 一 种 新 的 突破 ， 体 现 了 网 络 
与 信息 安全 的 新 思路 。 它 在 网 络 边界 实施 OSI 第 7 层 的 内 容 扫 描 ， 实 现 了 实时 在 网 络 边缘 
部 署 病 毒 防护 、 内 容 过 滤 等 应 用 层 服务 措施 。 
复合 型 防火 墙 工 作 原理 如 图 6.5 所 示 。 
2 Pp 
外: 二 >| 应 上 三 [TRA 
Ez | 
建立 连接 状态 表 
图 6.5 复合 型 防火 墙 工作 原理 示意 图 
6.2.4 ”技术 展望 
随 着 防火 墙 技术 的 发 展 ， 未 来 的 防火 墙 将 向 以 下 几 个 方向 发 展 。 
(1) 分 布 式 防火 墙 。 
(2) 嵌入 式 防火 墙 。 
(3) 深度 防御 。 
(4) 主动 防御 。 


(5) 与 其 他 安全 技术 联动 ， 从 而 产生 互 操作 协议 。 

(6) 专用 化 ， 小 型 化 ， 硬 件 化 。 

为 达成 上 述 防火 墙 发 展 目标 ， 人 们 对 新 的 防火 墙 技术 有 以 下 的 一 些 展望 。 
1. 深度 防御 技术 


深度 防御 技术 是 指 防火 墙 在 整个 协议 栈 上 建立 多 个 安全 检查 点 ， 利 用 各 种 安全 手段 对 
经 过 防火 墙 的 数据 包 进 行 多 次 检查 ， 从 而 提高 防火 墙 的 安全 性 。 举 例 来 说 ， 在 网 络 层 ， 过 
滤 掉 所 有 的 源 路 由 分 组 和 假冒 PP 源 地 址 的 分 组 ; 在 传输 层 ， 遵 循 过 滤 规 则 过 滤 掉 所 有 禁止 
出 入 的 协议 报 文 和 有 害 数据 包 ， 如 Nuke 包 、 和 圣诞树 包 等 ; 在 应 用 层 ， 利 用 FTP、SMTP 等 
各 种 网 关 ， 控 制 和 监测 Intemet 提供 的 可 用 服务 。 

深度 防御 技术 科学 地 混合 了 现 有 防火 墙 中 已 经 广泛 使 用 的 各 种 安全 技术 ( 包 过 滤 、 应 用 
网 关 等 )， 因 而 具有 很 大 的 灵活 性 和 安全 性 。 
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2. 区 域 联防 技术 


以 前 的 防火 墙 仅 在 内 外 网 交界 处 进行 安全 控制 ， 一 旦 黑客 攻破 该 点 ， 整 个 网 络 就 暴露 
在 黑客 面前 。 随 着 黑客 技术 的 不 断 提升 ， 防 火 墙 主机 也 受到 越 来 越 大 的 安全 威胁 ， 所 以 传 
统 的 防火 墙 结构 已 渐渐 不 能 适应 今天 的 企业 架构 。 

新 型 的 防火 墙 必须 是 分 布 式 的 ， 它 结合 主机 型 防火 墙 与 个 人 计算 机 型 防火 墙 ， 再 配合 
传统 型 防火 墙 的 功能 ， 让 其 各 司 其 职 ， 从 而 形成 全 方位 的 最 佳 效能 比 的 防卫 架构 ， 也 就 是 
利用 “区 域 联防 ”技术 。 其 目的 是 利用 各 区 域 的 加 强 防卫 动作 来 化 解 攻击 行为 。 凡 是 能 联 
入 Intemet 的 各 终端 , 不 管 是 网 络 主机 还 是 服务 器 或 个 人 计算 机 等 , 都 应 该 有 一 定 的 防护 功 
能 ， 以 避免 成 为 黑客 入 侵 的 漏洞 。 

3. 网 络 安全 产品 的 系统 化 


随 着 防火 墙 的 广泛 使 用 ， 人 们 也 不 断 地 发 现 防火 墙 的 局 限 性 。 与 此 同时 ， 各 种 各 样 的 
网 络 安全 产品 被 不 断 地 推出 。 因 此 如 何 能 使 网 络 安全 产品 组 成 一 个 以 防火 墙 为 核心 的 网 络 
安全 体系 也 是 业界 比较 关心 的 技术 问题 。 

在 以 防火 墙 为 核心 的 网 络 安全 体系 中 ， 防 火 墙 和 其 他 网 络 安全 产品 对 被 保护 网 络 中 出 
现 的 安全 问题 发 出 联动 的 反应 ， 从 而 最 大 限度 地 发 挥 各 个 网 络 安全 产品 的 优势 ， 提 高 被 保 
护 网 络 的 安全 性 。 

例如 ， 一 般 情况 下 ， 内 外 网 交界 的 位 置 是 网 络 传输 的 瓶颈 ， 为 了 降低 网 络 传输 延迟 ， 
只 有 必须 置 于 这 个 位 置 的 设备 (如 防火 墙 、 病毒 检测 设备 等 ) 才 会 被 放置 在 这 里 , 其 他 设备 (如 
IDS) 只 能 置 于 其 他 位 置 。 而 在 实际 使 用 中 ，IDS 的 任务 往往 不 仅 在 于 检测 入 侵 行为 ， 很 多 
时 候 还 需要 对 发 现 的 入 侵 行为 及 时 地 做 出 反应 。 显 然 ， 这 时 候 需 要 防火 墙 来 执行 切断 入 侵 
连接 的 动作 。 

除了 IDS 之 外 ， 防 火 墙 还 可 以 和 VPN、 病 毒 检 测 设备 等 进行 联动 ， 充 分 发 挥 各 自 的 长 
处 ， 协 同 配合 ， 共 同 建立 一 个 有 效 的 安全 防范 体系 。 

4. 管理 的 通用 化 

管理 通用 化 是 建立 一 个 有 效 的 安全 防范 体系 的 必要 条 件 。 如 要 使 各 个 不 同 的 网 络 安全 
产品 能 够 联动 地 做 出 反应 ， 就 必须 让 它们 都 使 用 同一 种 通用 的 “语言 ”， 也 就 是 发 展 一 种 
它们 都 能 够 理解 的 协议 。 如 此 一 来 ， 不 管 是 对 防火 墙 还 是 对 IDS、VPN、 病 毒 检测 设备 等 
网 络 安全 设备 进行 操作 ， 都 可 以 使 用 通用 的 网 络 设备 管理 方法 。 

5. 专用 化 和 硬件 化 

在 网 络 应 用 越 来 越 普遍 的 形势 下 ,一些 专 用 防火 墙 概念 也 被 提 了 出 来 ， 单 向 防火 墙 (又 
叫 网 络 二 极 管 ) 就 是 其 中 的 一 种 。 单 向 防火 墙 的 目的 是 让 信息 的 单 向 流动 成 为 可 能 ， 也 就 是 
网 络 上 的 信息 只 能 从 外 网 流入 内 网 ， 而 不 能 从 内 网 流入 外 网 ， 从 而 起 到 安全 防范 作用 。 

同时 ， 将 防火 墙 中 部 分 功能 固化 到 硬件 中 ， 也 是 当前 防火 墙 技术 发 展 的 方向 。 通 过 这 
种 方式 ， 可 以 提高 防火 墙 中 瓶颈 部 分 的 执行 速度 ， 缩 短 防 火 墙 导 致 的 网 络 延 时 。 


6.3 防火墙 的 体系 结构 


最 简单 的 防火 墙 是 一 台 屏 项 路 由 器 (Screening RoutenD, 一 旦 此 类 防火 墙 的 屏蔽 路 由 器 被 
攻陷 ， 就 会 对 整个 网 络 安全 产生 威胁 ， 所 以 一 般 不 会 使 用 这 种 结构 。 实 际 上 防火 墙 的 体系 
结构 多 种 多 样 ， 目 前 使 用 的 防火 墙 大 都 采用 以 下 几 种 体系 结构 。 

(1) 双重 宿主 主机 结构 。 

(2) 屏蔽 主机 结构 。 

(3) 屏蔽 子 网 结构 。 


6.3.1 双重 宿主 主机 结构 


双重 宿主 主机 (Dual-Homed Hosb 又 称 堡 又 主机 (Bastion Hosb， 是 一 台 至 少 配 有 两 个 网 
络 接口 的 主机 ， 它 可 以 充当 与 这 些 接口 相连 的 网 络 之 间 的 路 由 器 , 在 网 络 之 间 发 送 数据 包 。 
一 般 情 况 下 ， 双 重 宿主 主机 的 路 由 功能 是 被 禁止 的 ， 因 而 能 够 隔离 内 部 网 络 与 外 部 网 络 之 
间 的 直接 通信 ， 从 而 起 到 保护 内 部 网 络 的 作用 。 

双重 宿主 主机 结构 如 图 6.6 所 示 ， 一 般 是 用 一 台 装 有 两 块 网 卡 的 堡垒 主机 做 防火 墙 。 
两 块 网 卡 各 自 与 内 部 网 络 和 外 部 网 络 相连 。 堡 又 主机 上 运行 着 防火 墙 软件 ， 可 以 转发 应 用 
程序 、 提 供 服务 等 。 

双重 宿主 主机 结构 防火 墙 的 最 大 特点 是 IP 层 的 通信 是 被 阻止 的 , 两 个 网 络 之 间 的 通信 
可 通过 应 用 层 数 据 共 享 或 应 用 层 代理 服务 来 完成 。 代 理 服务 能 够 为 用 户 提供 更 为 方便 的 访 
问 手段 ， 也 可 以 通过 共享 应 用 层 数据 来 访问 外 网 。 


图 6.6 双重 宿主 主机 结构 示意 图 


双重 宿主 主机 用 两 种 方式 来 提供 服务 : 一 种 是 用 户 直接 登录 到 双重 宿主 主机 上 来 提供 
服务 ; 另 一 种 是 在 双重 宿主 主机 上 运行 代理 服务 器 。 
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第 一 种 方式 需要 在 双重 宿主 主机 上 开 立 许多 账号 ， 这 是 很 危险 的 ， 原 因 如 下 。 

(1) 用 户 账号 的 存在 会 给 入 侵 者 提供 相对 容易 的 入 侵 通 道 ， 每 一 个 账号 通常 有 一 个 可 
重复 使 用 的 口令 ( 即 通常 用 的 口令 和 一 次 性 口令 相对 )， 这 样 很 容易 被 入 侵 者 破解 。 

(2) 如 果 双 重 宿主 主机 上 有 很 多 账号 ， 管 理 员 维 护 起 来 很 麻烦 。 

(3) 支持 用 户 账号 会 降低 机 器 本 身 的 稳定 性 和 可 靠 性 。 

(4) 因为 用 户 的 行为 是 不 可 预知 的 ， 如 双重 宿主 主机 上 有 很 多 用 户 账户 ， 这 会 给 入 侵 
检测 带 来 很 大 的 麻烦 。 

如 果 在 双重 宿主 主机 上 运行 代理 服务 器 ， 产 生 的 问题 相对 要 少 得 多 ， 而 且 一 些 服务 本 
身 的 特点 就 是 “存储 转发 ”型 的 。 当 内 网 的 用 户 要 访问 外 部 站 点 时 ， 必 须 先 经 过 代理 服务 
器 认证 ， 然 后 才 可 以 通过 代理 服务 器 访问 因特网 。 

双重 宿主 主机 是 唯一 的 隔 开 内 部 网 和 Intemet 之 间 的 屏障 , 如 果 入 侵 者 得 到 了 双重 宿主 
主机 的 访问 权 ， 内 部 网 络 就 会 被 入 侵 ， 所 以 为 了 保证 内 部 网 络 的 安全 ， 双 重 宿主 主机 应 具 
有 强大 的 身份 认证 系统 ， 才 可 以 阻挡 非法 登录 。 

双 宿 主机 防火 墙 优 于 屏蔽 路 由 器 之 处 在 于 , 堡垒 主机 的 系统 软件 可 用 于 维护 系统 日 志 ， 
这 对 日 后 的 安全 检查 很 有 用 。 

双重 宿主 主机 防火 墙 的 一 个 致命 弱点 是 ， 一 旦 入 侵 者 侵入 堡垒 主机 并 使 其 具有 路 由 功 
能 ， 则 任何 外 网 用 户 均 可 以 随便 访问 内 网 。 

堡 侄 主 机 是 用 户 的 网 络 上 最 容易 受 侵 柳 的 机 器 ， 要 采取 各 种 措施 来 保护 它 。 设 计时 有 
两 条 基本 原则 : Q 堡 又 主机 要 尽 可 能 简单 ， 保 留 最 少 的 服务 ， 关 闭路 由 功能 ，@@ 随 时 做 好 
准备 ， 修 复 受 损害 的 堡垒 主机 。 


6.3.2 ”屏蔽 主机 结构 


屏蔽 主机 结构 (Screened Host Gateway)， 又 称 主机 过 滤 结 构 。 屏 项 主机 结构 需要 配备 一 
台 堡 又 主机 和 一 个 有 过 滤 功 能 的 屏蔽 路 由 器 ， 其 示意 图 如 图 6.7 所 示 。 屏 项 路 由 器 连接 外 
部 网 络 ， 堡 又 主机 安装 在 内 部 网 络 上 。 通 常 在 路 由 器 上 设立 过 滤 规 则 ， 并 使 堡垒 主机 成 为 
从 外 部 网 络 唯一 可 直接 通过 的 主机 。 入 侵 者 要 想 入 侵 内 部 网 络 ， 必 须 越过 屏蔽 路 由 器 和 堡 
侄 主机 两 道 屏障 ， 所 以 屏蔽 主机 结构 要 比 双 重 宿主 主机 结构 具有 更 好 的 安全 性 和 可 用 性 。 

堡垒 主机 是 外 网 主机 连接 到 内 部 网 络 的 桥梁 ,并 且 仅 有 某 些 确定 类 型 的 连接 被 允许 (如 
传送 进来 的 电子 邮件 )。 任 何 外 部 网 络 如 果 要 试图 访问 内 部 网 络 ， 必 须 连接 到 这 人 台 堡 又 主机 
上 。 因 此 ， 堡 又 主机 需要 有 较 高 的 安全 等 级 。 

在 屏蔽 路 由 器 中 数据 包 过 滤 可 以 按 下 列 之 一 配置 。 

(1) 允许 其 他 的 内 部 主机 为 了 某 些 服务 (如 Telneb 与 外 网 主机 连接 。 

(2) 不 允许 来 自 内 部 主机 的 所 有 连接 (强迫 主机 必须 经 过 堡垒 主机 使 用 代理 服务 )。 

用 户 可 以 针对 不 同 的 服务 混合 使 用 这 些 手 段 ， 某 些 服务 可 以 被 允许 直接 经 由 数据 包 过 
滤 ， 而 其 他 服务 可 以 被 允许 仅 间接 地 经 过 代理 ， 这 完全 取决 于 用 户 实行 的 安全 策略 。 

在 采用 屏蔽 主机 防火 墙 的 情况 下 ， 过 滤 路 由 器 是 否 正确 配置 是 安全 与 否 的 关键 。 过 滤 
路 由 器 的 路 由 表 应 当 受 到 严格 的 保护 ， 如 果 路 由 表 遭 到 破坏 ， 数 据 包 就 不 会 被 路 由 到 堡垒 
主机 上 ， 从 而 使 外 部 访问 越过 堡垒 主机 进入 内 网 。 


图 6.7 屏蔽 主机 结构 示意 图 


屏蔽 主机 结构 的 缺点 是 ， 如 果 入 侵 者 有 办 法 侵入 堡垒 主机 ， 而 且 在 堡垒 主机 和 其 他 内 
部 主机 之 间 没 有 任何 安全 保护 措施 的 情况 下 ， 整 个 网 络 对 入 侵 者 是 开放 的 。 为 了 改善 这 一 
状况 ， 可 以 使 用 屏蔽 子 网 。 


6.3.3 ”屏蔽 子 网 结构 


堡垒 主机 是 内 部 网 络 上 最 容易 受 攻击 的 目标 ， 在 屏蔽 主机 结构 中 ， 如 果 能 够 侵入 堡 爸 
主机 ， 就 可 以 毫 无 阻挡 地 进入 内 部 网 络 。 因 为 该 结构 中 屏蔽 主机 与 其 他 内 部 机 器 之 间 没 有 
特殊 的 防御 手段 ， 内 部 网 络 对 堡垒 主机 不 做 任何 防备 。 

屏蔽 子 网 结构 (Screened Subneb 可 以 改善 这 种 状况 ， 它 是 在 屏蔽 主机 结构 的 基础 上 添加 
额外 的 安全 层 ， 即 通过 添加 周边 网 络 ( 即 屏蔽 子 网 ) 进 一 步 把 内 部 网 络 与 外 部 网 络 隔离 开 。 

一 般 情 况 下 ， 屏 蔽 子 网 结构 包含 外 部 和 内 部 两 个 路 由 器 。 两 个 屏蔽 路 由 器 放 在 子 网 的 
两 端 ， 在 子 网 内 构成 一 个 “ 非 军事 区 ”CDMZ)。 有 的 屏蔽 子 网 中 还 设 有 一 台 堡 垒 主机 作为 
唯一 可 访问 点 ,支持 终端 交互 或 作为 应 用 网 关 代理 。 这 种 配置 的 危险 地 带 仅 包 括 堡垒 主机 、 
子 网 主机 及 所 有 连接 内 网 、 外 网 和 屏蔽 子 网 的 路 由 器 。 

屏蔽 子 网 结构 最 常见 的 形式 如 图 6.8 所 示 ， 通 过 在 周边 网 络 上 用 两 个 屏蔽 路 由 器 隔离 
堡垒 主机 ， 能 减少 堡垒 主机 被 侵入 的 危害 程度 。 外 部 路 由 器 保护 周边 网 络 和 内 部 网 络 免 受 
来 自 mnternet 的 侵犯 ， 内 部 路 由 器 保护 内 部 网 络 免 受 来 自 mtemet 和 周边 网 的 侵犯 。 要 侵入 
使 用 这 种 防火 墙 的 内 部 网 络 ， 入 侵 者 必须 要 通过 两 个 屏蔽 路 由 器 。 即 使 入 侵 者 能 够 侵入 堡 
又 主机 ， 内 部 路 由 器 也 会 阻止 他 继续 入 侵 内 部 网 络 。 
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图 6.8 屏蔽 子 网 结构 示意 图 


6.3.4 防火墙 的 组 合 结构 


组 建 防火 墙 时 ， 一 般 很 少 采用 单一 结构 ， 通 常 采 用 多 种 结构 的 组 合 。 这 种 组 合 主要 取 
决 于 网 管 中 心 向 用 户 提供 什么 样 的 服务 ， 以 及 网 管 中 心 能 接受 什么 等 级 的 风险 。 采 用 哪 种 
技术 还 取决 于 经 费 、 投 资 的 大 小 或 技术 人 员 的 技术 水 平 、 时 间 等 因素 。 

防火 墙 的 组 合 结构 一 般 有 以 下 几 种 形式 。 

(1) 使 用 多 堡垒 主机 。 

(2) 合并 内 部 路 由 器 与 外 部 路 由 器 。 

(3) 合并 堡垒 主机 与 外 部 路 由 器 。 

(4) 合并 堡 侄 主机 与 内 部 路 由 器 。 

(5) 使 用 多 台 内 部 路 由 器 。 

(6) 使 用 多 台 外 部 路 由 器 。 

(7) 使 用 多 个 周边 网 络 。 

(8) 使 用 双重 宿主 主机 与 屏蔽 子 网 。 


6.4 选择 防火 墙 的 注意 事项 


6.4.1 选择 防火 墙 的 基本 原则 


作为 一 类 比较 成 熟 的 安全 产品 ,市 场 上 已 经 有 很 多 种 品牌 的 防火 墙 产品 , 如 Check Point 
的 FireWall-1 、Cisco 的 PIX、Network Associate 的 Gauntlet Firewall 、Netscreen 的 
Netscreen-10/100/1000 Firewall 等 。 每 一 类 防火 墙 都 有 其 独特 的 功能 特点 和 技术 个 性 。 例如， 


全 | Check Point 的 GUI 界面 是 一 大 特色 ，Cisco 以 性 能 好 而 著名 、NAT 以 独特 的 技术 出 名 、 
机 | Netscreen 以 性 能 和 简单 易 用 性 而 为 人 称道 等 ， 这 些 防 火 墙 都 有 自己 的 定位 。 再 加 上 国内 的 
草 | 品牌 ， 如 此 众多 的 防火 墙 产品 让 用 户 眼 花 综 乱 ， 不 同 种 类 的 防火 墙 的 实现 技术 细节 也 各 不 
信 | 相同 ， 而 且 在 产品 宣传 上 引进 很 多 新 的 概念 和 术语 ， 使 用 户 很 难 选择 。 
各 一般 说 来 ， 选 择 防火 墙 时 的 基本 原则 如 下 。 
全 | ”4) 明确 自己 的 安全 和 功能 需求 ， 从 而 决定 所 期 望 的 防火 墙 产品 的 安全 性 、 功 能 和 
性 能 。 

C) 明确 投资 范围 和 标准 ， 以 此 来 衡量 防火 墙 的 性 价 比 。 

G) 在 相同 的 基准 和 条 件 下 ， 比 较 不 同 防火 墙 的 各 项 指标 和 参数 。 

(4) 综合 考虑 自己 的 安全 管理 人 员 的 经 验 、 能 力 和 技术 素质 ， 考 察 防火 墙 产品 的 管理 
和 维护 的 手段 和 方式 。 

(5) 根据 实际 应 用 的 需求 ， 了 解 防火 墙 附加 功能 的 定义 ， 以 及 日 常 系统 的 维护 手段 和 
策略 。 

考虑 以 上 基本 因素 后 ， 针 对 自己 的 具体 需求 ， 然 后 选择 合适 于 自己 环境 和 和 需求 的 防火 
墙 产品 。 

虽然 防火 墙 在 当今 mtemet 上 的 存在 是 有 生命 力 的 ,但 它 不 能 蔡 代 其 他 的 安全 措施 , 它 
并 不 是 解决 所 有 网 络 安全 问题 的 万 能 药方 ， 只 是 网 络 安全 政策 和 策略 中 的 一 个 基本 组 成 
部 分 。 


6.4.2 选择 防火 墙 的 注意 事项 


防火 墙 作 为 一 种 系统 和 网 络 安全 的 主要 手段 ， 其 定位 是 实现 网 络 边界 的 访问 控制 ， 阻 
止 来 自 外 部 的 攻击 和 破坏 。 因 此 ， 选 择 防火 墙 产品 ， 首 先 要 考察 它 的 主要 安全 功能 和 特性 ， 
然后 才 是 其 他 的 功能 和 特点 。 


1. 防火 墙 自身 是 否 安全 


作为 一 种 安全 设备 ， 防 火 墙 的 本 职 功能 就 是 安全 功能 ， 因 此 ， 衡 量 和 选择 防火 墙 首先 
要 考虑 的 就 是 它 的 安全 性 。 目 前 ， 防 火 墙 的 实现 技术 有 三 种 : 包 过 滤 、 应 用 代理 、 状 态 检 
测 ， 另 外 也 有 三 者 的 混合 技术 。 传 统 的 观念 是 应 用 代理 最 安全 、 包 过 滤 最 不 安全 ， 这 种 描 
述 不 一 定 准确 ; 应 该 是 应 用 代理 的 控制 最 细 ， 包 过 滤 的 控制 最 粗 ; 关键 要 看 这 种 控制 是 否 
适合 用 户 的 网 络 环境 和 安全 需要 。 

在 客户 端 环境 中 ， 防 火 墙 系统 和 厂商 的 防火 墙 产品 是 不 同 的 ， 防 火 墙 系统 包括 了 防火 
墙 产 品 、 防 火 墙 的 运行 平台 和 环境 、 防 火 墙 安全 控制 策略 、 防 火 墙 的 审计 策略 及 防火 墙 的 
管理 手段 等 ， 而 防火 墙 产 品 只 是 防火 墙 系统 中 的 一 个 重要 组 成 部 分 ， 也 就 是 厂商 提供 的 部 
分 。 防 火 墙 系统 的 安全 性 和 防火 墙 产 品 的 安全 性 不 是 等 同 的 。 一 般 来 说 ， 厂 商 所 说 的 防火 
墙 的 安全 性 是 指 产品 本 身 的 安全 性 ， 而 不 等 同 于 客户 环境 下 防火 墙 系统 的 安全 性 ; 各 个 评 
测 机 构 所 说 的 哪个 防火 墙 最 安全 ， 指 的 是 测试 环境 下 防火 墙 系统 的 安全 性 ， 它 体现 了 防火 
墙 的 合理 、 坚 固 、 安 全 配置 的 安全 性 ， 包 含 了 测试 安装 人 员 的 经 验 和 技术 。 

防火 墙 的 实现 方式 有 两 种 : 一 种 是 基于 专用 硬件 和 操作 系统 的 硬件 防火 墙 ， 另 一 种 是 
基于 商用 操作 系统 的 防火 墙 。 
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对 基于 商用 操作 系统 的 防火 墙 系统 ， 安 全 性 包括 操作 系统 本 身 的 安全 性 、 防 火 墙 的 安 
全 性 、 配 置 和 策略 的 合理 性 及 管理 的 安全 性 等 。 一 般 来 说 商用 操作 系统 本 身 并 不 是 为 防火 
墙 的 安全 目的 而 设计 的 , 它 是 通用 的 , 能 提供 各 类 服务 ,而且 有 大 量 的 安全 补丁 可 供 下 载 ， 
Intermet 上 对 它 的 攻击 方式 也 最 多 。 要 保证 此 类 防火 墙 系统 的 安全 ， 不 但 必须 花 大 量 的 时 间 
来 加 固 防火 墙 运行 的 操作 系统 的 安全 性 ， 在 投入 运行 后 ， 还 要 时 刻 关 注 新 补丁 的 出 现 并 及 
时 修补 。 对 于 这 一 类 防火 墙 ， 对 用 户 的 要 求 也 比较 高 ， 要 求 用 户 要 熟悉 操作 系统 的 各 个 
方面 。 

对 基于 专用 硬件 和 操作 系统 的 防火 墙 系统 ， 安 全 性 只 和 防火 墙 产 品 及 安全 策略 相关 。 
操作 系统 是 专门 为 防火 墙 而 设计 的 ， 充 分 地 考虑 了 操作 系统 的 安全 ， 无 须 打 补丁 和 加 固 。 
这 一 类 防火 墙 的 安全 性 只 与 管理 有 关 。 

对 于 客户 来 说 ， 所 需要 的 是 防火 墙 系统 的 安全 性 ， 而 不 是 防火 墙 产品 本 身 的 安全 性 。 
但 只 有 保证 了 防火 墙 产品 本 身 的 安全 性 ， 才 能 进一步 实现 防火 墙 系统 的 安全 性 。 


2. 防火 墙 是 否 具有 很 好 的 性 能 


防火 墙 的 性 能 包含 以 下 几 个 方面 的 指标 。 

(1) 防火 墙 的 并 发 连接 数 。 和 同时 访问 的 用 户 数 有 关 。 

(2) 防火 墙 的 数据 包 速 率 。 每 秒 数据 包 转 发 速率 ， 与 数据 包 的 大 小 有 关 。 

(3) 防火 墙 的 转发 速率 。 每 秒 通信 吞吐 量 。 

(4) 防火 墙 的 延 时 。 由 于 防火 墙 带 来 的 通信 延 时 。 

衡量 防火 墙 性 能 的 基准 是 与 没有 防火 墙 时 的 网 络 相 比较 ， 即 直接 连接 通信 时 的 比较 。 

影响 防火 墙 系统 的 性 能 相关 因素 有 以 下 几 个 方面 。 

(1) 防火 墙 产品 。 

(2) 防火 墙 所 运行 的 硬件 环境 。 

(3) 防火 墙 的 安全 策略 。 

(4) 防火 墙 的 附加 功能 等 。 

对 基于 商用 操作 系统 的 防火 墙 产品 来 说 ， 直 接 与 运行 的 硬件 平台 和 操作 系统 相关 。 由 
于 商用 操作 系统 和 硬件 并 不 是 专门 为 防火 墙 而 设计 的 ， 因 而 它 是 通用 平台 。 要 保证 这 一 类 
防火 墙 的 高 性 能 ， 需 要 对 操作 系统 的 软 、 硬 件 配置 进行 优化 ， 使 之 适合 于 防火 墙 的 应 用 。 
防火 墙 的 硬件 与 内 存 、 硬 盘 、CPU 等 有 关 ; 对 基于 硬件 的 防火 墙 系统 ， 其 性 能 与 所 选用 的 
型 号 和 部 署 的 安全 策略 有 关 。 

例如 ， 并 发 连接 数 是 防火 墙 最 常见 的 参数 ， 在 厂家 的 产品 说 明 书 中 ， 大 家 经 常 可 以 看 
到 ， 从 低 端 设备 的 500 个 并 发 连接 ， 一 直到 高 端 设备 的 数 十 万 个 并 发 连接 ， 存 在 着 巨大 的 
差异 。 那 么 ， 什 么 是 并 发 连接 数 ? 是 不 是 并 发 连接 数 越 大 的 防火 墙 越 好 ? (最 大 ) 并 发 连接 
数 指 的 是 防火 墙 或 代理 服务 器 对 其 业务 信息 流 的 处 理 能 力 ， 是 防火 墙 能 够 同时 处 理 的 点 对 
点 连接 的 最 大 数目 ， 它 反映 防火 墙 对 多 个 连接 的 访问 控制 能 力 和 连接 状态 跟踪 能 力 。 这 个 
参数 的 大 小 能 直接 影响 到 防火 墙 所 能 支持 的 最 大 信息 点 数 。 

并 发 连接 表 是 防火 墙 用 以 存放 并 发 连接 信息 的 地 方 ， 由 启动 后 的 防火 墙 在 内 存 空 间 中 
动态 分 配 ， 该 表 的 大 小 就 是 防火 墙 所 能 支持 的 最 大 并 发 连接 数 。 

但 过 大 的 并 发 连接 表 会 带 来 以 下 负面 影响 。 


(1) 消耗 大 量 的 内 存 空间 。 
机 (2) 在 相同 的 数据 结构 和 搜索 方式 下 ， 会 增 大 防火 墙 系统 对 表 项 的 搜索 时 间 ， 增 加 防 
内 火 墙 对 报 文 处 理 的 转发 延迟 。 
信 G) 不 考虑 客户 网 络 客观 情况 而 盲目 增 大 系统 并 发 连接 表 ， 会 造成 表 空间 及 内 存 资源 
条 的 大 量 闲置 浪费 。 
全 (4) 由 于 并 发 连接 表 对 内 存 的 占用 ， 会 造成 防火 墙 系统 本 身 得 不 到 足够 的 内 存 资源 ; 
虽然 虚拟 内 存 可 以 解决 内 存 的 紧张 问题 ， 但 虚拟 内 存 依赖 硬盘 与 内 存 页 之 间 的 数据 映射 切 
换 ， 在 读 写 速度 上 难以 与 物理 内 存 相提并论 。 

防火 墙 的 性 能 永远 和 投资 有 关系 ， 只 有 在 同样 的 投资 情况 下 比较 防火 墙 的 性 能 才 是 合 
理 的 。 防 火 墙 系统 的 性 能 和 投资 成 正比 ， 和 策略 数 、 策 略 的 复杂 性 、 功 能 成 反比 。 


3. 防火 墙 是 否 稳定 


就 一 个 成 熟 的 产品 来 说 ， 系 统 的 稳定 性 是 最 基本 的 要 求 。 如 果 防 火 墙 尚未 最 后 定型 
或 未 经 过 严格 测试 就 被 推 向 市 场 ， 其 稳定 性 就 很 难保 证 。 防 火 墙 的 稳定 性 从 厂商 的 宣传 村 
料 中 是 看 不 出 来 的 ， 但 可 以 从 以 下 几 个 渠道 获得 。 

(1) 国家 权威 的 测评 认证 机 构 ， 如 公安 部 计算 机 安全 产品 检测 中 心 和 中 国 国家 信息 安 
全 测评 认证 中 心 等 。 

(2) 与 其 他 产品 相 比 ， 是 否 获得 更 多 的 国家 权威 机 构 的 认证 、 推 荐 和 入 网 证 明 。 

(3) 考察 某 防火 墙 是 否 已 经 有 了 使 用 单位 ， 其 用 户 量 大 小 ， 以 及 用 户 们 对 于 该 防火 墙 
的 评价 。 如 有 可 能 ， 最 好 咨询 一 下 那些 对 稳定 性 要 求 较 高 的 重要 单位 的 用 户 ， 如 政府 机 关 、 
国家 部 委 、 证 券 或 银行 系统 、 军 队 等。 

(4) 自己 试用 。 先 在 自己 的 网 络 上 进行 一 段 时 间 的 试用 (一 个 月 左右 )， 如 果 在 试用 其 
间 时 常 有 死机 现象 ， 这 种 产品 就 可 以 完全 不 用 考虑 了 。 

(5) 厂商 开发 研制 的 历史 。 这 也 是 一 个 重要 指标 ， 一 般 来 说 ， 如 果 没有 两 年 以 上 的 开 
发 经 历 恐 怕 难 以 保证 产品 的 稳定 性 。 

(0 厂商 的 实力 。 其 包括 注册 资金 、 技 术 开发 人 员 、 市 场 销售 人 员 和 技术 支持 人 员 多 
少 等 。 相 信 一 家 注册 资金 几 百 万 , 人 员 不 超过 20~30 人 的 公司 是 不 可 能 保证 产品 稳定 性 的 。 

4. 防火 墙 是 否 可 靠 


防火 墙 的 安全 定位 是 控制 不 同 网 络 之 间 的 访问 ， 而 不 是 隔断 网 络 ， 因 此 可 靠 性 对 防火 
墙 类 访问 控制 设备 来 说 尤为 重要 ， 其 直接 影响 受 控 网 络 的 可 用 性 。 尤 其 是 关键 业务 的 网 络 ， 
网 络 的 通畅 是 第 一 的 ， 不 允许 由 于 防火 墙 而 导致 的 对 网 络 畅通 性 的 影响 。 

防火 墙 系统 的 可 靠 性 和 防火 墙 的 组 成 有 关 ， 是 各 个 组 件 的 可 靠 性 的 综合 。 对 基于 通用 
平台 的 防火 墙 系统 ， 可 靠 性 和 运行 的 主机 硬件 、 操 作 系统 、 防 火 墙 软件 本 身 有 关 。 在 这 类 
防火 墙 系统 中 ， 系 统 的 不 可 靠 因素 比较 多 ; 对 基于 专用 硬件 和 操作 系统 的 防火 墙 系统 的 组 
件 比 较 少 ， 不 可 靠 因素 相对 少 一 些 。 


5. 防火 墙 的 管理 是 否 简便 


对 于 防火 墙 类 访问 控制 设备 ， 除 安全 控制 不 断 调整 外 ， 业 务 系 统 访问 控制 的 调整 也 很 
频繁 ， 这 些 都 要 求 防火 墙 的 管理 在 充分 考虑 安全 需要 的 前 提 下 ， 尽 可 能 提供 方便 、 灵 活 的 
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管理 方式 和 方法 。 防 火 墙 系统 的 管理 要 考虑 管理 的 易 用 性 、 简 单 性 和 可 用 性 。 对 于 大 型 企 
业 来 说 ， 对 管理 的 重视 程度 更 高 。 管 理 的 内 容 有 日 常 维护 、 防 火 墙 的 配置 、 策 略 制定 、 监 
控 、 日 志和 报告 等 。 

目前 ， 防 火 墙 系统 的 管理 特性 有 以 下 几 点 。 

(1) 集中 管理 、 配 置 、 监 控 和 报告 。 

(2) 组 模式 管理 ， 复 用 配置 和 策略 信息 。 

(3) 安全 的 远程 管理 。 

(4) 基于 浏览 器 管理 。 

(5) GUI 管 理 界 面 。 

(6) 防火 墙 的 日 常 维护 和 审计 。 


6. 防火 墙 是 否 易 用 


防火 墙 的 易 用 性 与 客户 的 投资 价值 直接 相关 ， 易 用 性 主要 从 网 络 安全 管理 的 日 常 工作 
着 手 ， 主 要 表现 在 以 下 几 个 方面 。 

(1) 是 否 易于 安装 和 部 署 ， 充 分 考虑 防火 墙 系统 对 原 有 网 络 的 改动 和 影响 ， 衡 量 这 种 
工作 量 的 负担 和 复杂 性 。 

(2) 是 否 易于 日 常 使 用 ， 是 否 会 影响 最 终 用 户 的 使 用 ， 是 否 会 影响 用 户 的 日 常 使 用 习 
惯 等 。 

(3) 防火 墙 系统 是 否 易于 日 常 维护 。 


7. 防火 墙 是 否 可 以 抵抗 拒绝 服务 攻击 


在 当前 的 网 络 攻击 中 ， 拒 绝 服务 攻击 使 用 频率 最 高 ， 它 可 以 分 为 两 类 。 

(1) 由 于 操作 系统 或 应 用 软件 本 身 设 计 或 编程 上 的 缺陷 造成 的 ， 由 此 带 来 的 攻击 种 类 
很 多 ， 只 有 通过 打 补 丁 的 办 法 加 以 解决 。 

(2) 由 于 TCP/IP 协议 本 身 的 缺陷 造成 的 ， 虽 然 只 有 少数 的 几 种 ， 但 危害 性 非常 大 。 

要 求 防火 墙 解决 第 一 类 攻击 显然 是 强人 所 难 。 系 统 缺陷 和 病毒 不 同 ， 没 有 病毒 码 可 以 
作为 依据 ， 因 此 在 判断 到 底 是 不 是 攻击 时 常常 出 现 误 报 ， 目 前 国内 外 的 入 侵 检测 产品 对 这 
类 攻击 至 少 有 50% 的 误 报 率 。 而 且 这 类 攻击 检测 产品 不 能 装 在 防火 墙 上 ， 和 否则 防火 墙 可 能 
把 合法 的 报 文 误 认为 是 攻击 。 防 火 墙 能 做 的 是 对 付 第 (2) 类 攻击 。 

抵抗 拒绝 服务 攻击 是 防火 墙 的 基本 功能 之 一 ， 目 前 有 很 多 防火 墙 号 称 可 以 抵御 拒绝 服 
务 攻 击 ， 实 际 上 它 只 能 降低 拒绝 服务 攻击 的 危害 ， 而 不 是 抵御 这 种 攻击 。 因 此 在 采购 防火 
墙 时 ， 应 该 详细 考察 这 一 功能 的 真实 性 和 有 效 性 。 


8. 防火 墙 是 否 具 有 可 扩展 性 、 可 升级 性 


目前 市 面 上 的 防火 墙 一 般 标 配 3 个 网 络 接口 ， 分 别 接 外 部 网 、 内 部 网 和 SSN。 因 此 ， 
在 购买 防火 墙 时 必须 问 清楚 ， 是 否 可 以 增加 网 络 接口 ， 因 为 有 些 防火 墙 只 支持 3 个 接口 ， 
不 具有 扩展 性 。 

随 着 用 户 业务 的 扩展 、 网 络 技术 的 发 展 以 及 黑客 攻击 手段 的 变化 ， 防 火 墙 也 必须 不 断 
地 升级 ， 所 以 要 充分 考虑 防火 墙 系统 是 否 能 够 升级 。 防 火 墙 系统 的 升级 包括 运行 平台 的 升 
级 和 防火 墙 软件 本 身 的 升级 。 一 般 要 求 升级 工作 量 和 复杂 性 不 要 太 大 。 


选择 升级 时 ， 一 般 应 考虑 以 下 几 个 方面 。 
(1) 升级 方式 : 远程 或 本 地 。 

(2) 升级 工作 量 。 

(3) 升级 复杂 性 。 

(4) 升级 对 运行 中 的 防火 墙 系统 的 影响 。 
(5) 是 否 可 以 集中 升级 。 

(6) 是 否 需 要 重新 安装 。 

(7) 升级 程序 是 否 自动 化 。 

(8) 是 否 需要 重新 配置 。 


9. 防火 墙 是 否 能 适应 复杂 环境 


在 防火 墙 基本 功能 和 安全 性 满足 要 求 的 情况 下 ， 还 要 考虑 对 于 复杂 网 络 的 适应 性 。 
内 许多 网 络 没 有 首先 考虑 安全 性 的 问题 ， 而 是 先 运行 网 络 ， 然 后 考虑 增加 安全 设备 。 所 以 
存在 很 多 这 样 的 现象 ， 先 建 网 络 ， 后 增加 防火 墙 。 这 势必 给 防火 墙 提 出 了 一 个 要 求 一 一 让 
防火 墙 去 适应 各 种 各 样 的 网 络 环境 。 例 如 ， 在 已 经 运行 的 网 络 中 ， 对 外 开放 的 服务 器 采用 
客户 机 /服务 器 结构 ， 将 与 之 通信 的 外 网 IP 地 址 做 到 应 用 程序 中 ， 此 时 ， 要 求 防 火 墙 支持 
透明 模式 。 如 果 服 务 器 处 于 DMZ( 非 军事 区 ) 区 域 ， 同 时 ， 单 位 局 域 网 用 户 又 有 上 网 需求 ， 
同时 隐藏 下。 这 时 ， 内 网 和 外 网 采用 路 由 模式 ， 而 DMZ 区 服务 器 和 外 网 采用 透明 模式 。 
整个 防火 墙 工作 是 既 有 路 由 又 有 透明 的 混合 工作 模式 。 这 本 来 需要 两 个 防火 墙 完成 的 工作 ， 
就 可 以 由 支持 混合 模式 的 防火 墙 来 完成 。 

另外 ,对 于 大 型 的 网 络 来 说 ,防火 墙 能 否 通 过 简单 的 配置 ,实现 复杂 网 络 的 安全 需求 。 
对 于 用 户 、IP、 服 务 都 可 以 定义 相应 的 组 ， 从 而 简化 了 安全 规则 数目 。 


10. 防火 墙 是 否 具备 AAA 和 日 志 功 能 


随 着 网 络 安全 的 发 展 以 及 用 户 对 网 络 安全 认识 的 不 断 深 入 ，AAA( 认 证 、 授 权 、 记 账 ) 
已 经 不 可 避免 地 融入 防火 墙 。 现 在 用 户 对 AAA 的 要 求 越 来 越 高 ， 已 经 远 远 超越 了 简单 的 
用 户 名 /口令 认证 阶段 ， 逐 步 走向 全 面 、 标 准 的 AAA。 从 目前 校园 网 和 某 些 科研 机 构 的 应 
用 来 看 ， 防 火 墙 必须 在 框架 设计 阶段 就 考虑 到 AAA， 而 且 必 须 提供 相应 的 工具 ， 使 防火 墙 
的 AAA 系统 与 用 户 原 有 的 认证 系统 平滑 过 渡 。 

如 何 有 效 地 使 用 和 管理 防火 墙 日 志 ， 是 许多 国内 厂商 没有 解决 的 问题 。 经 过 这 几 年 的 
发 展 ， 人 们 逐渐 意识 到 产品 标准 化 、 国 际 化 是 大 势 所 趋 。 目 前 ， 多 数 国内 防火 墙 厂 商 使 用 
Oracle、SQL Server 等 商业 数据 库 进行 日 志 管理 ， 出 现 了 两 头 不 靠 的 尴 众 局 面 : 一 方面 对 
于 中 小 型 用 户 ， 商 业 数 据 库 提高 了 总 体 成 本 和 管理 难度 ， 另 一 方面 对 于 大 型 企业 用 户 ,一 
般 防 火 墙 厂商 提供 的 日 志 分 析 管 理 软件 ， 又 达 不 到 企业 级 应 用 的 要 求 。 目 前 ， 现 实 的 做 法 
是 向 第 三 方 工业 标准 靠 齐 ， 比 如 Webtrends 的 WELF， 提 供给 用 户 简单 快捷 、 行 之 有 效 的 
解决 问题 办 法 ， 并 且 使 大 型 企业 用 户 可 以 使 用 专业 的 第 三 方 防火 墙 日 志 分 析 软 件 。 现 在 ， 
国外 许多 厂商 ， 如 Netscreen、Checkpoint 都 宣布 支持 这 个 格式 ， 国 内 有 些 厂商 也 已 经 实现 
对 这 个 格式 的 支持 ， 如 龙马 卫士 防火 墙 的 日 志 就 是 完全 采用 WELF 格式 实现 的 。 
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11. 防火 墙 是 否 支 持 VPN 功能 


VPN 是 一 种 安全 传输 技术 ， 它 是 在 公 网 上 实现 私有 专用 网 的 一 种 方式 。 目 前 越 来 越 多 
的 企业 对 VPN 提出 应 用 的 需求 ,而 很 多 的 防火 墙 产品 也 都 开始 支持 VPN 功能 ,在 选择 VPN 
时 应 注意 以 下 几 个 因素 。 

(1) VPN 实现 技术 和 标准 的 符合 程度 。 

(2) VPN 模块 的 兼容 性 。 

(3) VPN 的 性 能 指标 。 

(4) 配置 VPN 的 简单 性 。 

(5) 加 密 算法 的 强度 和 可 用 性 。 


12. 防火 墙 是 否 具备 附加 功能 


防火 墙 的 基本 功能 是 保护 网 络 的 安全 ， 但 是 安全 是 一 个 整体 的 架构 ， 在 这 个 架构 下 还 
包含 有 其 他 种 类 的 安全 技术 ， 很 多 防火 墙 产品 本 身 融 合 了 许多 其 他 的 功能 和 技术 。 在 选择 
这 些 附加 功能 时 ， 首 先 要 考虑 的 是 哪些 功能 是 防火 墙 必要 的 ， 哪 些 功 能 是 我 们 必要 的 ， 哪 
些 功 能 是 可 有 可 无 的 。 

一 般 来 说 ， 防 火 墙 所 带 的 附加 功能 有 以 下 几 个 方面 。 

(1) VPN 功能 。 

(2) 带宽 管理 功能 。 

(3) 网 络 计 费 功能 。 

(4) URL 过 滤 功 能 。 

(5) 日 志 分 析 功 能 。 

(6) 内 容 扫 描 功 能 。 

(7) 防 病毒 功能 。 

上 述 大 部 分 附加 功能 是 给 第 三 方 厂家 提供 接口 ， 通 过 第 三 方 的 解决 方案 实现 的 。 在 选 
择 这 些 附加 功能 时 ， 必 须 和 整个 企业 安全 架构 相关 联 ， 选 择 必 要 的 附加 功能 。 


6.5 访问 控制 列表 


6.5.1 访问 控制 列表 的 基本 概念 


访问 控制 列表 (Access Control List，ACL)， 也 称 为 访问 列表 (Access List)， 它 最 直接 的 
功能 就 是 包 过 滤 。 通 过 访问 控制 列表 ACL 可 以 在 路 由 器 、3 层 交 换 机 上 进行 网 络 安全 属性 
配置 ， 可 以 实现 对 进入 到 路 由 器 、3 层 交 换 机 的 输入 数据 流 进行 过 滤 。 

访问 控制 列表 的 主要 作用 有 以 下 两 个 。 

(1) 限制 路 由 更 新 。 控 制 路 由 更 新 信息 发 往 什么 地 方 ， 同 时 希望 在 什么 地 方 收 到 路 由 
更 新 信息 。 

(2) 限制 网 络 访问 。 为 了 确保 网 络 安全 ， 通 过 定义 规则 限制 用 户 访问 一 些 服务 (如 只 需 
要 访问 WWW 和 电子 邮件 服务 ， 其 他 服务 如 Telnet 则 禁止 )， 或 只 允许 一 些 主机 访问 网 络 


人 @_ 
从 等 。 如 图 6.9 所 示 ， 通 过 在 路 由 器 上 设置 ACL， 从 而 控制 内 网 用 户 只 能 访问 外 部 Intemet， 
机 | 而 不 能 访问 FTP 服务 器 。 


各 画 画 
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图 6.9 用 访问 控制 列表 限制 网 络 访问 


过 滤 输 入 数据 流 的 定义 可 以 基于 网 络 地 址 、TCP/UDP 的 应 用 等 。 可 以 选择 对 于 符合 过 
滤 标 准 的 流 是 丢弃 还 是 转发 ， 因 此 必须 知道 网 络 是 如 何 设计 的 ， 以 及 路 由 器 接口 是 如 何在 
过 滤 设 备 上 使 用 的 。 要 通过 ACL 配置 网 络 安全 属性 ， 只 有 通过 命令 完成 配置 。 

创建 访问 列表 时 ， 定 义 的 准则 将 应 用 于 路 由 器 上 所 有 的 分 组 报 文 ， 路 由 器 通过 判断 分 
组 是 否 与 准则 匹配 来 决定 是 否 转发 或 阻 断 分 组 报 文 。 


6.5.2 ”访问 控制 列表 的 定义 


访问 控制 列表 的 定义 分 为 两 步 : 第 一 步 ， 定 义 规则 (哪些 数据 允许 通过 ， 哪 些 不 允许 ); 
第 二 步 ， 将 规则 应 用 在 设备 接口 上 。 

对 于 单一 的 访问 控制 列表 来 说 ， 可 以 使 用 多 条 独立 的 访问 控制 列表 语句 来 定义 多 种 准 
则 ， 其 中 所 有 的 语句 引用 同一 个 编号 ， 以 便 将 这 些 语句 绑 定 到 同一 个 访问 控制 列表 。 但 使 
用 的 语句 越 多 ， 阅 读 和 理解 访问 控制 列表 就 越 困难 。 

在 每 个 访问 控制 列表 的 末尾 隐 含 一 条 “拒绝 所 有 数据 流 ” 的 准则 语句 ， 因 此 如 果 分 组 
与 任何 准则 都 不 匹配 ， 将 被 拒绝 。 

加 入 的 每 条 准则 都 被 追加 到 访问 控制 列表 的 最 后 ， 一 旦 语句 被 创建 后 ， 就 无 法 单独 删 
除 它 ， 而 只 能 删除 整个 访问 控制 列表 。 所 以 访问 控制 列表 语句 的 次 序 非常 重要 。 路 由 器 在 
决定 转发 还 是 阻 断 分 组 时 ， 路 由 器 按 语 句 创建 的 次 序 将 分 组 与 语句 进行 比较 ， 找 到 匹配 的 
语句 后 便 不 再 检查 其 他 准则 语句 。 

ACL 的 基本 准则 有 以 下 几 条 (图 6-10)。 

(1) 一 切 未 被 允许 的 就 是 禁止 的 。 

(2) 路 由 器 默认 允许 所 有 的 信息 流通 过 。 

(3) 防火 墙 默认 封锁 所 有 的 信息 流 ， 对 希望 提供 的 服务 逐 项 开放 。 

(4) 按 规则 链 来 进行 匹配 ， 如 使 用 源 地 址 、 目 的 地 址 、 源 端口 、 目 的 端口 、 协 议 、 时 
间 段 进行 匹配 。 

(5) 从 头 到 尾 、 自 项 向 下 的 匹配 方式 。 

(6) 匹配 成 功 马上 停止 。 

(7) 立刻 使 用 该 规则 的 “人 允许 、 拒 绝 ……”。 


第 6 章 防火 二 放 术 @@ 


we XR | 


图 6.10 ACL 的 基本 准则 


6.5.3 ”访问 控制 列表 的 类 型 


ACL 的 类 型 主要 分 为 PP 标准 访问 控制 列表 (Standard 人 P ACL) 和 下 扩展 访问 控制 列表 
(Extended IP ACL), 每 一 条 ACL 必须 指定 唯一 的 名 称 或 编号 , 标准 ACL 的 编号 范围 为 1 一 
99; 扩展 列表 的 编号 范围 为 100~~199。 主 要 的 动作 为 允许 (Permit) 和 拒绝 (Deny); 主要 的 应 
用 方法 是 入 栈 (m) 应 用 和 出 栈 (Oub 应 用 。ACL 规则 中 包含 的 元 素 有 : 源 卫 、 目 的 卫 、 源 端 
口 、 目 的 端口 、 协 议 、 服 务 等 。 

标准 人 ACL 主要 是 根据 数据 包 源 地 址 进行 转发 或 阻 断 分 组 的 ， 扩 展 亿 ACL 使 用 以 上 
任意 元 素 组 合 进行 转发 或 阻 断 分 组 。 

1. 标准 ACL 

定义 标准 ACL 分 两 步 : 第 一 步 ， 定 义 规则 ; 第 二 步 ， 将 规则 应 用 在 设备 接口 上 上。 具体 
命令 如 下 。 

1) ”定义 规则 

在 路 由 器 上 使 用 命令 : 


Router (config)# access-list <1-99> { permit ldeny } 源 地 址 ”[ 反 掩 码 ] 

在 交换 机 上 使 用 命令 : 

Switch(config)# Ip access-list <1-99> { permit ldeny } 源 地 址 [ 反 掩 码 ] 
2) ”应 用 ACL 到 接口 

Router (config-if)#ip access-group <1-99>|{name} { in | out } 


下 面 用 一 个 例子 来 说 明 标 准 ACL 的 具体 应 用 方法 。 如 图 6.11 所 示 ， 假 设 要 定义 的 规 


@_ 
算 | 则 是 只 允许 172.16.3.0/24 网 段 访问 外 网 172.17.0.0/16， 而 禁止 其 他 网 段 访问 外 网 。 


网 > 
络 1 
or 72.17.0.0 
信 172.16.3.0 一 172.16.4.0 
> FO 


图 6.11 ACL 应 用 拓扑 
可 以 在 路 由 器 上 建立 一 个 标准 ACL， 编 号 为 1， 定 义 以 下 规则 : 


Router (config)#access-list 1 permit 172.16.3.0 0.0.0.255 
Router (config)#access-list 1 deny 0.0.0.0 255.255.255.255 


然后 ， 将 上 述 规则 应 用 到 S0 端口 上 。 


Router (config)#interface serial S0 
Router (config-if)#ip access-group 1 out 


这 里 ， 需 要 注意 的 是 ， 要 尽量 把 规则 应 用 到 离 限制 目标 最 近 的 位 置 上 。 
2. 扩展 ACL 


定义 扩展 ACL 同样 分 两 步 : 第 一 步 ， 定 义 规则 ; 第 二 步 ， 将 规则 应 用 在 设备 接口 上 。 
不 同 的 是 限制 元 素 得 到 了 细 化 , 不 仅 限于 源 他 地 址 , 而 且 是 可 以 根据 数据 包 内 的 源 、 目的 
地 址 ， 应 用 服务 进行 过 滤 。 

1) ”定义 扩展 ACL 规则 


Router (config)# access-list <100-199> { permit /deny } 协议 源 地 址 反 掩 码 [ 源 
端口 ] 且 的 地 址 反 掩 码 [ 目的 端口 ] 


2) ”应 用 ACL 到 接口 
Router (config-if)#ip access-group <100-199> |{name} { in | out } 


在 此 需要 注意 ， 编 号 的 范围 为 100 一 199。 

下 面 通 过 一 个 示例 来 说 明 扩展 ACL 规则 定义 方法 : 允许 网 络 192.168.0.0 内 所 有 主机 
访问 HTTP 服务 器 172.168.12.3， 拒 绝 其 他 主机 使 用 网 络 。 

根据 以 上 信息 ， 可 以 定义 以 下 规则 : 

Switch (config)# access-list 111 permit tcp 192.168.0.0 0.0.255.255 host 

172.168.12.3 eq www 

上 面 这 条 规则 虽然 只 有 一 条 ， 但 需 注意 的 是 ， 所 有 ACL 默认 规则 是 拒绝 所 有 数据 包 ， 
所 以 ， 在 规则 的 末尾 隐 含 一 条 拒绝 其 他 主机 使 用 网 络 的 规则 信息 。 

可 以 使 用 命令 Switch # show access-lists 来 查看 定义 好 的 规则 。 

另外 ， 不 要 忘 了 ， 将 该 规则 应 用 到 具体 的 某 一 个 端口 上 ， 这 一 端口 应 尽量 靠近 HTTP 
服务 器 172.168.12.3。 


EN 
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复习 思考 题 六 
一 、 填 空 题 
1. 目前 应 用 的 防火 墙 技术 主要 有 和 和 
2. 外 部 网 络 (外 网 ) 是 防火 墙 之 外 的 网 络 ， -为 ， 默 认为 
3. 内 部 网 络 (内 网 ) 是 防火 墙 之 内 的 网 络 ， 一 般 为 ， 默 认为 
4. 防火 墙 的 分 类 方式 有 很 多 种 。 根 据 受 保护 的 对 象 ， 可 以 分 为 防火 墙 和 
防火 墙 ; 根据 防火 墙 主要 部 分 的 形态 ， 可 以 分 为 防火 墙 和 防火 墙 根据 
防火 墙 使 用 的 对 象 ， 可 以 分 为 防火 墙 和 防火 墙 ; 根据 防火 墙 检查 数据 包 
的 位 置 ， 可 以 分 为 防火 墙 、 防火 墙 和 防火 墙 。 
5. 目前 使 用 的 防火 墙 大 都 采用 以 下 几 种 体系 结构 a 
6. 防火 墙 的 体系 结构 一 般 有 结构 、 结构 、 主 机 过 滤 结构 
和 结构 。 
二 、 选 择 题 
1. 防火 墙 ( ，) 不 通过 它 的 连接 。 
A. 不 能 控制 B. 能 控制 C. 能 过 滤 D. 能 禁止 
2. 防火 墙 是 指 ( 各 
A. 一 个 特定 软件 B. 一 个 特定 硬件 
C. 执行 访问 控制 策略 的 一 组 系统 D. 一 批 硬件 的 总 称 
3. 包 过 滤 防 火 墙 工作 在 ( 
A. 应 用 层 B. 会 话 层 C. 传输 层 D. 网 络 层 
4. ”在 下 列 防 火 墙 体系 结构 中 相对 最 安全 的 是 (  )。 
A. 双重 宿主 主机 结构 B. 屏蔽 主机 结构 C. 屏蔽 子 网 结构 
5. ”下列 不 属于 防火 墙 的 性 能 指标 的 是 ( ji 
A. 防火 墙 的 并 发 连接 数 B. 防火 墙 的 转发 速率 
C. 防火 墙 的 延 时 D. 防火 墙 的 运行 环境 
6. 基于 防火 墙 的 功能 分 类 , 有 _@ 防火 墙 等 ; 基于 防火 墙 的 工作 原理 分 类 , 有 _@ 防 
火 墙 等 。 (  ) @ 
A. 包 过 滤 、 代 理 服务 和 状态 检测 B. 基于 路 由 器 和 基于 主机 系统 
C.FTP、TELNET、E-mail 和 病毒 D. 双 穴 主机 、 主 机 过 滤 和 子 网 过 滤 
( ) O 
A. 包 过 滤 、 代 理 服务 和 状态 检测 B. san kin 
C.FTP、TELNET、E-mail 和 病毒 穴 主 机 、 主 机 过 滤 和 子 网 过 滤 
7. 将 防火 墙 软件 安装 在 路 由 器 上 ， 就 构成 了 Fe @ ; 不 管 是 哪 种 防火 墙 ， 都 不 
能 Q@. 
( ) Q@ A. 包 过 滤 防 火 墙 B. 子 网 过 滤 防 火 墙 


C. 代理 服务 器 防火 墙 D. 主机 过 滤 防 火 墙 


) @ A. 强化 网 络 安全 策略 B. 对 网 络 存 取 和 访问 进行 监控 审计 
C. 防止 内 部 信息 的 外 泄 D. 防范 绕 过 它 的 连接 


三 、 简 答题 


OTOP 人 DD 


. 什么 是 防火 墙 7 防火 墙 有 什么 作用 ? 

. 防火 墙 有 哪些 优 缺点 ? 

. 包 过 滤 防 火 墙 、 应 用 代理 防火 墙 、 状 态 监视 防火 墙 各 有 哪些 优 缺点 ? 
. 防火 墙 的 体系 结构 有 哪些 ? 各 有 什么 优 缺 点 ? 

. 防火 墙 的 组 合 结构 一 般 有 哪 几 种 形式 ? 

. 选择 防火 墙 时 应 遵循 哪些 基本 原则 ? 

. 选择 防火 墙 时 应 注意 哪些 事项 ? 

. 评价 防火 墙 性 能 的 指标 有 哪些 ? 
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学 习 目标 

系统 学 习 入 侵 检测 基本 知识 ， 入 侵 检测 模型 和 体系 结构 及 入 侵 检测 与 其 他 安全 系统 的 
协同 。 通 过 本 章 的 学 习 ， 读 者 应 掌握 以 下 内 容 

@ ”掌握 入 侵 检测 的 概念 、 组 成 、 功 能 及 分 类 ， 入 侵 检 测 模型 和 体系 结构 。 

@ 了解 常用 的 入 侵 检测 技术 ， 入 侵 检测 系统 与 协同 ， 入 侵 检测 发 展现 状 和 趋势 。 


7.1 入 侵 检测 概述 


随 着 黑客 入 侵 的 日 益 猩 狐 ， 人 们 发 现 仅 从 防御 的 角度 构造 安全 系统 是 不 够 的 。 入 侵 检 
测 技术 是 继 “ 防 火 墙 ” 、“ 访 问 控制 ”等 传统 安全 保护 措施 后 新 一 代 的 安全 保障 技术 。 它 
对 计算 机 和 网 络 资源 上 的 恶意 使 用 行为 进行 识别 和 响应 , 它 不 仅 检测 来 自 外 部 的 入 侵 行 为 ， 
同时 也 监督 内 部 用 户 的 未 授权 活动 。 入 侵 检测 技术 是 一 种 主动 保护 自己 的 网 络 和 系统 免 遭 
非法 攻击 的 网 络 安全 技术 ， 它 从 计算 机 系统 或 者 网 络 中 收集 、 分 析 信息 ， 检 测 任何 企图 破 
坏 计算 机 资源 的 完整 性 (Integrity)、 机 密 性 (Confidentiality) 和 可 用 性 (Availability) 的 行为 ， 即 
查看 是 否 有 违反 安全 策略 的 行为 和 遭 到 攻击 的 迹象 ， 并 做 出 相应 的 反应 。 


7.1.1 入 侵 检测 概念 


不 同 于 防火 墙 技 术 ， 入 侵 检测 是 相对 缓和 的 网 络 安全 技术 ， 这 是 一 种 被 动 的 和 事后 的 
机 制 技术 措施 。 与 防火 墙 技术 相 比 ， 虽 然 目 前 的 入 侵 检测 商业 产品 实用 性 不 高 ， 不 是 难以 
配置 和 维护 ， 就 是 有 较 高 的 虚 警 率 ， 给 人 的 总 体感 觉 是 有 负 盛 名 ， 但 是 随 着 网 络 安全 技术 
的 发 展 ， 入 侵 检测 系统 会 在 整个 网 络 安全 体系 中 占有 越 来 越 重 要 的 地 位 。 作 为 一 种 积极 主 
动 的 安全 防护 技术 ， 入 侵 检测 提供 了 对 内 部 攻击 、 外 部 攻击 和 误 操 作 的 实时 保护 ， 在 网 络 
系统 受到 危害 之 前 拦截 和 响应 入 侵 。 从 网 络 安全 立体 纵深 、 多 层次 防御 的 角度 出 发 ， 入 侵 
检测 理应 受到 人 们 的 高 度 重 视 ， 这 从 国外 入 侵 检测 产品 市 场 的 蓬勃 发 展 就 可 以 看 出 。 

James Anderson 在 20 世纪 80 年 代 早 期 首先 提出 了 入 侵 检测 的 概念 ， 他 将 入 侵 尝 试 
(Intrusion Attempt) 或 威胁 (Threat) 定 义 为 潜在 的 、 有 预谋 的 、 未 经 授权 的 访问 信息 、 操 作 信 
息 ， 致 使 系统 不 可 靠 或 无 法 使 用 的 活动 。 

Heady 给 出 了 另 一 个 入 侵 的 定义 。 入 侵 是 指 试图 破坏 资源 的 完整 性 、 机 密 性 及 可 用 性 
的 活动 集合 。 

Smaha 从 分 类 角度 指出 入 侵 包 括 尝试 性 疤 入 、 伪 装 攻击 、 安 全 控制 系统 渗透 与 泄露 、 
拒绝 服务 、 恶 意 使 用 5 种 类 型 。 

这 里 对 入 侵 检测 相关 的 一 些 基本 概念 作 以 下 通俗 的 定义 。 

(1) 入 侵 Cntrusion) 指 的 就 是 试图 破坏 计算 机 的 保密 性 、 完 整 性 、 可 用 性 或 可 控 性 的 一 
系列 活动 。 


(2) 入 侵 活动 包括 非 授 权 用 户 试图 存 取 数 据 、 处 理 数 据 ， 或 者 妨碍 计算 机 正常 运行 等 
活动 。 

(3) 入 侵 检 测 (Intrusion Detection) 就 是 对 计算 机 网 络 和 计算 机 系统 的 关键 节点 信息 进 
行 收集 分 析 ， 检 测 其 中 是 否 有 违反 安全 策略 的 事件 发 生 或 攻击 迹象 ， 并 通知 系统 安全 管理 
员 (Site Security Officer)。 

(4) 入 侵 检 测 系 统 (Intrusion Detection System，IDS) 是 用 于 入 侵 检测 的 软件 和 硬件 的 合 
称 ， 是 加 载 入 侵 检 测 技术 的 系统 。 

一 般 情 况 下 ， 并 不 严格 地 去 区 分 入 侵 检测 和 入 侵 检测 系统 两 个 概念 ， 而 都 称 为 IDS 或 


| 入 侵 检测 技术 。 


7.1.2 入侵 检 测 系统 组 成 
入 侵 检测 系统 的 基本 构成 如 图 7.1 所 示 ， 通 常 由 以 下 基本 组 件 构成 。 


图 7.1 入 侵 检 测 系统 的 基本 构成 


(1) 事件 产生 器 。 事 件 产 生 器 是 入 侵 检 测 系 统 中 负责 原始 数据 采集 的 部 分 ， 它 对 数据 
流 、 日 志文 件 等 进行 追踪 ， 然 后 将 搜集 到 的 原始 数据 转换 为 事件 ， 并 向 系统 的 其 他 部 分 提 
供 此 事件 。 

(2) 事件 分 析 器 。 事 件 分 析 器 接收 事件 信息 ， 然 后 对 它们 进行 分 析 ， 判 断 是 否 为 入 侵 
行为 或 异常 现象 ， 最 后 将 判断 的 结果 转变 为 警告 信息 。 

(3) 事件 数据 库 。 事 件数 据 库 是 存放 各 种 中 间 和 最 终 数据 的 地 方 。 它 从 事件 产生 器 或 
事件 分 析 器 接收 数据 ， 并 将 数据 较 长 时 间 保 存 。 事 件数 据 库 既 可 以 是 复杂 的 数据 库 ， 也 可 
以 是 简单 的 文本 文件 。 

(4) 响应 单元 。 响 应 单元 根据 警告 信息 做 出 切断 连接 、 改 变 文件 属性 等 强烈 反应 ， 也 
可 以 只 是 简单 的 报警 ， 是 入 侵 检测 系统 中 的 主动 武器 。 

以 上 4 个 部 分 只 是 入 侵 检测 系统 的 基本 组 成 部 分 。 从 具体 实现 的 角度 看 ， 入 侵 检 测 系 
统 包括 硬件 和 软件 两 部 分 。 硬 件 设 备 主要 完成 数据 的 采集 和 响应 的 实施 ， 软 件 部 分 主要 完 
成 数据 的 处 理 、 入 侵 的 判断 、 响 应 的 决策 等 。 

基于 主机 的 入 侵 检测 系统 相对 简单 ， 基 于 网 络 的 入 侵 检 测 系 统 要 复杂 一 些 ， 一 般 采 用 
分 层 分 布 式 结构 ， 主 要 分 为 数据 采集 层 、 分 析 层 和 管理 层 。 数 据 采 集 层 主 要 用 于 “ 抓 包 ”， 
必要 时 做 一 些 分 包 和 拆 包 工作 ; 分 析 层 得 到 数据 后 对 数据 进行 分 析 和 判断 ， 决 定 是 否 属于 
入 侵 行 为 或 给 出 怀疑 值 ， 管 理 层 对 分 析 层 的 上 报 结果 进行 决策 ， 做 出 响应 ， 同 时 还 担负 系 
统 维护 、 人 机 交互 等 任务 。 在 网 络 中 需要 检测 的 点 比较 多 ， 所 以 常 采用 分 布 式 结构 。 
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7.1.3 ”入 侵 检 测 功 能 


入 侵 检测 系统 能 在 入 侵 攻击 对 系统 发 生 危 害 前 检测 到 它 ， 并 利用 报警 与 防护 系统 驱逐 
入 侵 攻击 ; 在 入 侵 攻 击 过 程 中 ， 尽 可 能 减少 入 侵 攻 击 所 造成 的 损失 ;在 被 入 侵 攻击 后 ， 能 
收集 入 侵 攻 击 的 相关 信息 ， 作 为 防范 系统 的 知识 添加 到 知识 库 内 ， 从 而 增强 系统 的 防范 
能 力 。 

入 侵 检测 功能 可 大 致 分 为 以 下 几 个 方面 。 


1. 监控 、 分 析 用 户 和 系统 的 活动 


这 是 入 侵 检测 系统 能 够 完成 入 侵 检测 任务 的 前 提 条 件 。 入 侵 检测 系统 通过 获取 进出 某 
台 主 机 及 整个 网 络 的 数据 ， 或 者 通过 查看 主机 日 志 等 信息 来 监控 用 户 和 系统 活动 。 获 取 网 
络 数据 的 方法 一 般 是 “ 抓 包 ”， 即 将 数据 流 中 的 所 有 包 都 抓 下 来 进行 分 析 。 

如 果 入 侵 检测 系统 不 能 实时 地 截获 数据 包 并 对 其 进行 分 析 ， 就 会 出 现 漏 包 或 网 络 阻塞 
的 现象 。 前 一 种 情况 下 系统 的 漏 报 会 很 多 ， 后 一 种 情况 会 影响 到 入 侵 检测 系统 所 在 主机 或 
网 络 的 数据 流速 ， 入 侵 检 测 系统 成 为 整个 系统 的 瓶颈 。 因 此 ， 入 侵 检 测 系统 不 仅 要 能 够 监 
控 、 分 析 用 户 和 系统 的 活动 ， 还 要 使 这 些 操作 足够 快 。 


2. 发 现 入 侵 企图 或 异常 现象 


这 是 入 侵 检测 系统 的 核心 功能 。 主 要 包括 两 个 方面 :一 方面 是 入 侵 检测 系统 对 进出 网 
络 或 主机 的 数据 流 进 行 监控 ， 查 看 是 否 存在 入 侵 行 为 ， 另 一 方面 则 评估 系统 关键 资源 和 数 
据 文件 的 完整 性 ， 查 看 系统 是 否 已 经 遭受 了 入 侵 。 前 者 的 作用 是 在 入 侵 行为 发 生 时 及 时 发 
现 ， 从 而 避免 系统 遭受 攻击 ， 而 后 者 一 般 是 攻击 行为 已 经 发 生 ， 但 可 以 通过 攻击 行为 留 下 
的 痕迹 的 一 些 情况 ， 从 而 避免 再 次 遭受 攻击 。 对 系统 资源 完整 性 的 检查 也 有 利于 对 攻击 者 
进行 追踪 或 者 取证 。 

对 于 网 络 数据 流 的 监控 ， 可 以 使 用 异常 检测 的 方法 ， 也 可 以 使 用 误 用 检测 的 方法 。 目 
前 还 有 很 多 新 技术 ， 但 多 数 都 还 处 在 理论 研究 阶段 。 现 在 的 入 侵 检 测 产品 使 用 的 主要 还 是 
模式 匹配 技术 。 检 测 技术 的 好 坏 直 接 关 系 到 系统 能 否 精确 地 检测 出 攻击 ， 因 此 ， 对 于 这 方 
面 的 研究 是 入 侵 检测 系统 研究 领域 的 主要 工作 。 


3. 记录 、 报 警 和 响应 


入 侵 检测 系统 在 检测 到 攻击 后 ， 应 该 采取 相应 的 措施 来 阻止 或 响应 攻击 。 它 应 该 首先 
记录 攻击 的 基本 情况 ， 其 次 应 该 能 够 及 时 发 出 警告 。 良 好 的 入 侵 检测 系统 ， 不 仅 应 该 能 把 
相关 数据 记录 在 文件 或 数据 库 中 ， 还 应 该 提供 报表 打印 功能 。 必 要 时 ， 系 统 还 能 够 采取 必 
要 的 响应 行为 ， 如 拒绝 接收 所 有 来 自 某 台 计算 机 的 数据 、 追 踪 入 侵 行为 等 。 实 现 与 防火 墙 
等 安全 部 件 的 交互 响应 ， 也 是 入 侵 检测 系统 需要 研究 和 完善 的 功能 之 一 。 

作为 一 个 功能 完善 的 入 侵 检测 系统 ， 除 具备 上 述 基 本 功能 外 ， 还 应 该 包括 其 他 一 些 功 
能 ， 如 审计 系统 的 配置 和 弱点 评估 、 关 键 系统 和 数据 文件 的 完整 性 检查 等 。 此 外 ， 入 侵 检 
测 系统 还 应 该 为 管理 员 和 用 户 提供 友好 、 易 用 的 界面 ， 方 便 管 理 员 设置 用 户 权 限 、 管 理 数 
据 库 、 手 工 设置 和 修改 规则 、 处 理 报 警 和 浏览 、 打 印 数据 等 。 


机 7.2 入侵 检测 系统 分 类 


信 根据 不 同 的 分 类 标准 ， 入 侵 检测 系统 可 分 为 不 同 的 类 别 。 对 于 入 侵 检测 系统 要 考虑 的 
屋 | 因素 (分 类 依据 ) 主 要 有 数据 源 、 入 侵 、 事 件 生成 、 事 件 处 理 及 检测 方法 等 。 


7.2.1 根据 数据 源 分 类 


入 侵 检测 系统 要 对 所 监控 的 网 络 或 主机 的 当前 状态 做 出 判断 ， 需 要 以 原始 数据 中 包含 
| 的 信息 为 基础 。 按 照 原始 数据 的 来 源 ， 可 以 将 入 侵 检 测 系统 分 为 基于 主机 的 入 侵 检测 系统 、 
基于 网 络 的 入 侵 检测 系统 和 基于 应 用 的 入 侵 检测 系统 等 类 型 。 


1. 基于 主机 的 入 侵 检 测 系统 


基于 主机 的 入 侵 检 测 系统 主要 用 于 保护 运行 关键 应 用 的 服务 器 ， 它 通过 监视 与 分 析 主 
机 的 审计 记录 和 日 志文 件 来 检测 入 侵 ， 日 志 中 包含 发 生 在 系统 上 的 不 寻常 活动 的 证 据 ， 这 
些 证 据 可 以 指出 有 人 正在 入 侵 或 已 成 功 入 侵 了 系统 。 通 过 查看 日 志文 件 ， 能 够 发 现成 功 的 
入 侵 或 入 侵 企图 ， 并 启动 相应 的 应 急 措施 。 

通常 情况 下 ， 基 于 主机 的 入 侵 检测 系统 可 监测 系统 、 事 件 、Windows NT 下 的 安全 记 
录 及 UNIX 环境 下 的 系统 记录 ， 从 中 发 现 可 疑 行为 。 当 有 文件 发 生变 化 时 ， 入 侵 检 测 系统 
将 新 的 记录 条 目 与 攻击 标记 相 比较 ， 看 它们 是 否 相 匹配 。 如 果 匹 配 ， 系 统 就 会 向 管理 员 报 
警 。 对 关键 系统 文件 和 可 执行 文件 的 入 侵 检 测 的 一 个 常用 方法 是 通过 定期 检查 校 验 和 来 进 
行 的 ， 以 便 发 现 意外 的 变化 。 反 应 的 快慢 与 轮 询 间隔 的 频率 有 直接 关系 。 此 外 ， 许 多 入 侵 
检测 系统 还 能 够 监听 主机 端口 的 活动 ， 并 在 特定 端口 被 访问 时 向 管理 员 报警 。 


2. 基于 网 络 的 入 侵 检 测 系统 


基于 网 络 的 入 侵 检测 系统 主要 用 于 实时 监控 网 络 关键 路 径 的 信息 ， 它 能 够 监听 网 络 上 
的 所 有 分 组 ， 并 采集 数据 以 分 析 可 疑 现 象 。 

基于 网 络 的 入 侵 检测 系统 使 用 原始 网 络 包 作为 数据 源 ， 通 常 利用 一 个 运行 在 混杂 模式 
下 的 网 络 适 配器 来 实时 监视 ， 并 分 析 通 过 网 络 的 所 有 通信 业务 。 基 于 网 络 的 入 侵 检测 系统 
可 以 提供 许多 基于 主机 的 入 侵 检 测 法 无 法 提供 的 功能 。 许 多 客户 在 最 初 使 用 入 侵 检测 系统 
时 ， 都 配置 了 基于 网 络 的 入 侵 检测 。 


3. 基于 应 用 的 入 侵 检测 系统 


基于 应 用 (Application) 的 入 侵 检测 系统 是 基于 主机 的 入 侵 检测 系统 的 一 个 特殊 子 集 ， 其 
特性 、 优 缺点 与 基于 主机 的 入 侵 检 测 系统 基本 相同 。 由 于 这 种 技术 能 够 更 准确 地 监控 用 户 
某 一 应 用 行为 ， 所 以 在 日 益 流行 的 电子 商务 中 越 来 越 受到 关注 。 

这 3 种 入 侵 检测 系统 具有 互补 性 。 基 于 网 络 的 入 侵 检测 能 够 客观 地 反映 网 络 活动 ， 特 
别 是 能 够 监视 到 系统 审计 的 盲区 ; 而 基于 主机 和 基于 应 用 的 入 侵 检 测 能 够 更 加 精确 地 监视 
系统 中 的 各 种 活动 。 
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7.2.2 ”根据 检测 原理 分 类 


根据 系统 所 采用 的 检测 方法 ， 将 入 侵 检测 分 为 异常 入 侵 检 测 和 误 用 入 侵 检 测 两 类 。 

(1) 异常 入 侵 检 测 。 异 常 入 侵 检 测 是 指 能 够 根据 异常 行为 和 使 用 计算 机 资源 的 情况 检 
测 入 侵 。 异 常 入 侵 检 测试 图 用 定量 的 方式 描述 可 以 接受 的 行为 特征 ， 以 区 分 非 正 常 的 、 洪 
在 的 入 侵 行为 。Anderson 做 了 如 何 通 过 识别 “异常 ”行为 来 检测 入 侵 的 早期 工作 ， 他 提出 
了 一 个 威胁 模型 ， 将 威胁 分 为 外 部 闻 入 (用 户 虽 然 被 授权 ,但 对 授权 数据 和 资源 的 使 用 不 合 
法 或 滥用 授权 )、 内 部 渗透 和 不 当 行 为 3 种 类 型 ， 并 采用 这 种 分 类 方法 开发 了 一 个 安全 监视 
系统 ， 可 检测 用 户 的 异常 行为 。 

(2) 误 用 入 侵 检测 。 误 用 入 侵 检测 是 指 利用 已 知 系统 和 应 用 软件 的 弱点 攻击 模式 来 检 
测 入 侵 。 与 异常 入 侵 检测 不 同 ， 误 用 入 侵 检测 能 直接 检测 不 利 或 不 可 接受 的 行为 ， 而 异常 
入 侵 检测 则 是 检查 出 与 正常 行为 相 违背 的 行为 。 


7.2.3 ”根据 体系 结构 分 类 
按照 体系 结构 ， 入 侵 检测 系统 可 分 为 集中 式 、 等 级 式 和 协作 式 3 种 。 
1. 集中 式 


集中 式 入 侵 检测 系统 包含 多 个 分 布 于 不 同 主机 上 的 审计 程序 ， 但 只 有 一 个 中 央 入 侵 检 
测 服务 器 ， 审 计 程 序 把 收集 到 的 数据 发 送 给 中 央 服 务 器 进行 分 析 处 理 。 这 种 结构 的 入 侵 检 
测 系统 在 可 伸缩 性 、 可 配置 性 方面 存在 致命 缺陷 。 随 着 网 络 规模 的 扩大 ， 主 机 审计 程序 和 
服务 器 之 间 传 送 的 数据 量 激增 , 会 导致 网 络 性 能 大 大 降低 。 并 且 一 旦 中 央 服 务 器 出 现 故 障 ， 
整个 系统 就 会 陷入 瘫痪 。 此 外 ， 根 据 各 个 主机 不 同 需 求 配置 服务 器 也 非常 复杂 。 


2. 等 级 式 


在 等 级 式 (部 分 分 布 式 ) 入 侵 检测 系统 中 ， 定 义 了 若干 个 分 等 级 的 监控 区 域 ， 每 个 入 侵 
检测 系统 负责 一 个 区 域 ， 每 一 级 入 侵 检测 系统 只 负责 分 析 所 监控 区 域 ， 然 后 将 当地 的 分 析 
结果 传送 给 上 一 级 入 侵 检测 系统 。 

这 种 结构 存在 以 下 问题 : 首先 ， 当 网 络 拓扑 结构 改变 时 ， 区 域 分 析 结果 的 汇总 机 制 也 
需要 做 相应 的 调整 其次， 这 种 结构 的 入 侵 检测 系统 最 终 还 是 要 把 收集 到 的 结果 传送 到 最 
高 级 的 检测 服务 器 进行 全 局 分 析 ， 所 以 系统 的 安全 性 并 没有 实质 性 的 改进 。 


3. 协作 式 


协作 式 (分 布 式 ) 入 侵 检 测 系统 将 中 央 检 测 服务 器 的 任务 分 配给 多 个 基于 主机 的 入 侵 检 
测 系统 ， 这 些 入 侵 检 测 系 统 不 分 等 级 ， 各 司 其 职 ， 负 责 监 控 当 地 主机 的 某 些 活动 。 所 以 ， 
可 伸缩 性 、 安 全 性 都 得 到 了 显著 的 提高 ， 但 维护 成 本 也 相应 增 大 ， 并 且 增 加 了 所 监控 主机 
的 工作 负荷 ， 如 通信 机 制 、 审 计 开 销 、 踪 迹 分 析 等 。 


7.2.4 根据 工作 方式 分 类 
入 侵 检测 系统 根据 工作 方式 ， 可 分 为 离线 检测 系统 和 在 线 检测 系统 。 


a Pp 


tad 


(1) 离线 检测 系统 。 离 线 检测 系统 是 一 种 非 实时 工作 的 系统 ， 在 事件 发 生 后 分 析 审 计 
事件 ， 从 中 检查 入 侵 事 件 。 这 类 系统 的 成 本 低 ， 可 以 分 析 大 量 事件 ， 调 查 长 期 的 情况 ; 但 
由 于 是 在 事后 进行 ， 所 以 不 能 对 系统 提供 及 时 的 保护 ， 而 且 很 多 入 侵 在 完成 后 都 会 将 审计 
事件 删除 ， 因 而 无 法 审计 。 

(2) 在 线 检测 系统 。 在 线 检测 系统 对 网 络 数据 包 或 主机 的 审计 事件 进行 实时 分 析 ， 可 
以 快速 响应 ， 保 护 系统 安全 ;但 在 系统 规模 较 大 时 ， 难 以 保证 实时 性 。 


7.2.5 根据 系统 其 他 特征 分 类 


作为 一 个 完整 的 系统 ， 其 系统 特征 同样 值得 认真 研究 。 一 般 来 说 ， 可 以 将 以 下 一 些 重 
要 特征 作为 分 类 的 考虑 因素 。 


1. 系统 的 设计 目标 


不 同 的 入 侵 检测 系统 有 不 同 的 设计 目标 。 有 的 提供 记 账 功能 ， 其 他 功能 由 系统 操作 人 
员 完 成 ， 有 的 提供 响应 功能 ， 根 据 所 作出 的 判断 自动 采取 相应 的 措施 。 


2. 事件 生成 /收集 的 方式 


根据 入 侵 检 测 系 统 收 集 事件 信息 的 方式 ， 可 分 为 基于 事件 的 和 基于 轮 询 的 两 类 。 

基于 事件 的 方式 也 称 为 被 动 映射 ， 检 测 器 持续 地 监控 事件 流 ， 事 件 的 发 生 激活 信息 的 
收集 ; 基于 轮 询 的 方式 也 称 为 主动 映射 ， 检 测 器 主动 查看 各 监控 对 象 ， 以 收集 所 需 信息 ， 
并 判断 一 些 条 件 是 否 成 立 。 

3. 检测 时 间 ( 同 步 技 术 ) 

根据 系统 监控 到 事件 和 对 事件 进行 分 析 处 理 之 间 的 时 间 间 隔 , 可 分 为 实时 和 延 时 两 类 。 
有 些 系统 以 实时 或 近乎 实时 的 方式 持续 地 监控 从 信息 源 检测 来 的 信息 ; 而 另 一 些 系统 在 收 
集 到 信息 后 ， 要 隔 一 定 的 时 间 后 才能 进行 处 理 。 

4. 入 侵 检 测 响应 方式 


根据 入 侵 检测 响应 方式 不 同 ， 可 分 为 主动 响应 和 被 动 响应 。 被 动 响应 型 系统 只 会 发 出 
告警 通知 ， 将 发 生 的 不 正常 情况 报告 给 管理 员 ， 其 本 身 并 不 试图 降低 所 造成 的 破坏 ， 更 不 
会 主动 地 对 攻击 者 采取 反击 行动 。 

主动 响应 系统 可 以 分 为 两 类 ， 即 对 被 攻击 系统 实施 控制 和 对 攻击 系统 实施 控制 。 对 攻 
击 系统 实施 控制 比较 困难 ,主要 采用 对 被 攻击 系统 实施 控制 , 通过 调整 被 攻击 系统 的 状态 ， 
阻止 或 减轻 攻击 影响 ， 如 断 开 网 络 连接 、 增 加 安全 日 志 、 清 除 可 疑 进程 等 。 


5. 数据 处 理 地 点 


审计 数据 可 以 集中 处 理 ， 也 可 以 分 布 处 理 。 

这 些 不 同 的 分 类 方法 可 以 从 不 同 的 角度 了 解 、 认 识 入 侵 检 测 系 统 ， 或 者 认识 入 侵 检 测 
系统 所 具有 的 不 同 功能 。 但 实际 的 入 侵 检测 系统 常常 要 综合 采用 多 种 技术 ， 具 有 多 种 功能 ， 
因此 很 难 将 一 个 实际 的 入 侵 检 测 系统 归于 某 一 类 ， 它 们 通常 是 这 些 类 别 的 混合 体 ， 某 个 类 
别 只 是 反映 了 这 些 系统 的 一 个 侧面 。 
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7.3 入侵 检 测 技术 


入 侵 检测 系统 常用 的 检测 技术 有 误 用 检测 、 异 常 检测 与 高 级 检测 技术 。 本 节 在 介绍 入 
侵 检 测 技术 的 同时 ， 也 将 对 入 侵 响应 技术 进行 全 面 分 析 。 


7.3.1 误 用 检测 技术 


误 用 检测 技术 指 通 过 将 收集 到 的 数据 与 预先 确定 的 特征 知识 库 里 的 各 种 攻击 模式 进行 
比较 ， 如 果 发 现 有 攻击 特征 ， 则 判断 有 攻击 ， 对 检测 已 知 攻击 比较 有 效 。 特 征 知识 库 是 将 
已 知 的 攻击 方法 和 技术 的 特征 提取 出 来 ， 来 建立 的 一 个 知识 库 。 

常用 的 误 用 检测 技术 有 专家 系统 、 模 型 推理 和 状态 转换 分 析 等 。 


1. 专家 系统 


专家 系统 是 误 用 检测 技术 中 运用 最 多 的 一 种 方法 。 它 将 有 关 入 侵 的 知识 转化 为 下 Then 
结构 的 规则 ， 即 将 构成 入 侵 所 要 求 的 条 件 转 化 为 下 部 分 ， 将 发 现 入 侵 后 采取 的 相应 措施 转 
化 成 Then 部 分 。 当 其 中 某 个 或 菜 部 分 条 件 满足 时 ， 系 统 就 判断 为 入 侵 行为 发 生 。 其 中 的 
If-Then 结构 构成 了 描述 具体 攻击 的 规则 库 ， 状 态 行为 及 其 语义 环境 可 根据 审计 事件 得 到 ， 
推理 机 制 根 据 规 则 和 行为 完成 判断 工作 。 

在 具体 实现 中 ， 专 家 系统 主要 面临 以 下 问题 : 全 面 性 问题 ， 即 难以 科学 地 从 各 种 入 侵 
手段 中 抽象 出 全 面 的 规则 化 知识 ， 效 率 问 题 ， 即 需要 处 理 的 数据 量 过 大 ， 而 且 在 大 型 系统 
上 如 何 获得 实时 、 连 续 的 审计 数据 也 是 个 问题 。 

由 于 存在 以 上 问题 ， 商 业 产 品 一 般 不 采用 专家 系统 ， 而 采用 模型 推理 和 状态 转换 分 析 
方法 。 

2. 模型 推理 


模型 推理 是 指 结合 攻击 脚本 推理 出 入 侵 行为 是 否 出 现 ， 其 中 攻击 行为 描述 攻击 目的 、 
攻击 步骤 以 及 对 系统 的 特殊 使 用 等 。 

根据 这 些 知识 建立 攻击 脚本 库 ， 每 一 脚本 都 由 一 系列 攻击 行为 组 成 。 检 测 时 先 将 这 些 
攻击 脚本 的 子 集 看 作 系统 正面 临 的 攻击 ， 然 后 通过 一 个 称 为 预测 器 的 程序 模块 根据 当前 行 
为 模式 ， 产 生 下 一 个 需要 验证 的 攻击 脚本 子 集 ， 并 传 给 决策 器 。 决 策 器 收 到 信息 后 ， 根 据 
这 些 假 设 的 攻击 行为 在 审计 记录 中 可 能 出 现 的 方式 ， 将 其 翻译 成 与 特定 系统 匹配 的 审计 记 
录 格 式 ， 最 后 在 审计 记录 中 寻找 相应 信息 来 确认 或 否认 这 些 攻 击 。 初 始 攻击 脚本 子 集 的 假 
设 应 易于 在 审计 记录 中 识别 ， 且 出 现 频率 很 高 。 随 着 一 些 脚本 被 确认 的 次 数 增多 ， 另 一 些 
脚本 被 确认 的 次 数 减少 ， 攻 击 脚本 不 断 得 到 更 新 。 

模型 推理 方法 的 优点 是 对 不 确定 性 的 推理 有 合理 的 数学 理论 基础 ， 同 时 决策 器 使 得 攻 
击 脚本 可 以 与 审计 记录 的 上 下 文 无 关 。 此 外 ， 这 种 检测 方法 也 减少 了 需要 处 理 的 数据 量 ， 
因为 它 首 先 按 脚 本 类 型 检测 相应 类 型 是 否 出 现 ， 然 后 再 检测 具体 的 事件 。 其 缺点 在 于 创建 
入 侵 检测 模型 的 工作 量 比 别 的 方法 要 大 ， 在 系统 实现 时 ， 决 策 器 如 何 有 效 地 翻译 攻击 脚本 
也 是 一 个 问题 。 


3. 状态 转换 分 析 


状态 转换 分 析 最 早 是 由 RKemmerer 提出 的 ， 即 将 状态 转换 图 应 用 于 入 侵 行为 的 分 析 。 
状态 转换 法 将 入 侵 过 程 看 作 一 个 行为 序列 ， 这 个 行为 序列 导致 系统 从 初始 状态 转 入 被 
入 侵 状 态 。 分 析 时 ， 首 先 针对 每 一 种 入 侵 方法 确定 系统 的 初始 状态 和 被 入 侵 状 态 以 及 导致 
状态 转换 的 条 件 ， 即 导致 系统 进入 被 入 侵 状态 必须 执行 的 操作 (特征 事件 )。 然 后 用 状态 转 
换 图 来 表示 每 一 个 状态 和 特征 事件 ， 这 些 事件 被 集成 于 模型 中 ， 所 以 检测 时 不 需要 逐条 查 
找 审计 记录 。 但 是 ， 状 态 转换 是 针对 事件 序列 进行 的 分 析 ， 所 以 不 善于 分 析 过 于 复杂 的 事 


| 件 ， 而 且 不 能 检测 与 系统 状态 无 关 的 入 侵 。 


同 专家 系统 一 样 ， 对 事件 序列 分 析 也 需要 知道 攻击 行为 的 具体 知识 。 但 是 ， 攻 击 方法 
的 语义 描述 不 是 被 转化 为 检测 规则 ， 而 是 在 审计 记录 中 能 直接 找到 的 信息 形式 。 这 样 就 不 
像 专家 系统 一 样 需 要 处 理 大 量 数据 ， 从 而 大 大 提高 了 检测 效率 。 这 种 方法 的 缺陷 也 和 所 有 
其 他 的 误 用 检测 方法 一 样 ， 需 要 经 常 为 新 发 现 的 系统 漏洞 更 新 知识 库 ， 另 外 ， 由 于 对 不 同 
操作 系统 平台 的 具体 攻击 方法 不 同 ， 以 及 不 同 平台 的 审计 方式 不 同 ， 所 以 构造 和 维护 的 工 
作 量 都 较 大 。 

Petri 网 就 是 一 种 类 似 于 状态 转换 图 分 析 的 方法 。 它 能 一 般 化 、 图 形 化 地 表达 状态 ， 并 
且 简 洁 、 明 了 。 虽 然 复杂 的 入 侵 特征 能 用 Petri 网 表达 得 很 简单 ， 但 是 对 原始 数据 匹配 时 的 
计算 量 却 很 大 。 


7.3.2 异常 检测 技术 


误 用 检测 技术 需要 已 知 入 侵 的 行为 模式 ， 所 以 不 能 检测 未 知 的 入 侵 。 异 常 检测 则 可 以 
检测 未 知 的 入 侵 。 基 于 异常 检测 的 入 侵 检测 首先 要 构建 用 户 正常 行为 的 统计 模型 ， 然 后 将 
当前 行为 与 正常 行为 特征 相 比 较 来 检测 入 侵 。 常 用 的 异常 检测 技术 有 概率 统计 方法 和 神经 
网 络 方法 两 种 。 

1. 概率 统计 方法 


概率 统计 方法 是 异常 检测 技术 中 应 用 最 早 也 是 最 广泛 的 一 种 方法 。 首 先 ， 检 测 器 根据 
用 户 的 动作 建立 用 户 特 征 表 ， 通 过 比较 当前 特征 与 已 存储 定型 的 特征 ， 从 而 判断 是 否 为 异 
常 行为 。 用 户 特 征 表 需 要 根据 审计 记录 情况 不 断 加 以 更 新 。 

用 于 描述 特征 的 变量 类 型 有 以 下 几 种 。 

(1) 操作 密度 。 度 量 操作 执行 的 频率 ， 常 用 于 检测 一 段 时 间 内 的 异常 行为 。 

(2) 审计 记录 分 布 。 度 量 在 最 新 记录 中 所 有 操作 类 型 的 分 布 情况 。 

(3) 范畴 尺度 。 度 量 在 一 定 动作 范畴 内 特定 操作 的 分 布 情况 。 

(4) 数值 尺度 。 度 量 产生 数值 结果 的 操作 ， 如 CPU 占用 率 、LO 使 用 频繁 程度 等 。 

这 些 变量 所 记录 的 具体 操作 包括 CPU 的 使 用 、LO 的 使 用 、 使 用 地 点 及 时 间 、 邮 件 使 
用 、 编 辑 器 使 用 、 编 译 器 使 用 以 及 所 创建 、 删 除 、 访 问 或 改变 的 目录 及 文件 、 网 络 活动 等 。 

在 入 侵 检测 研究 机 构 SRICSL(Stanford Research Institute/Computer Science Laboratory) 
的 入 侵 检测 专家 系统 中 给 出 了 一 个 特征 简 表 的 结构 : 


< 变量 名 ， 行 为 描述 ， 例 外 情况 ， 资 源 使 用 ， 时 间 周 期 ， 变 量 类 型 ， 阀 值 ， 主 体 ， 客 体 ， 值 > 
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其 中 的 变量 名 、 主 体 、 客 体 唯 一 确定 每 一 个 特征 简 表 ， 特 征 值 由 系统 根据 审计 数据 周 
期 性 地 产生 。 这 个 特征 值 是 所 有 用 户 特 征 异常 程度 值 的 函数 。 如 果 假设 S,，S,，…，5, 分 
别 是 用 于 描述 特征 的 变量 M1,，Ms，*…，M, 的 异常 程度 值 ，S;( 直 1，2,，…，n) 值 越 大 ， 说 明 
异常 程度 越 大 。 这 个 特征 值 可 以 用 所 有 5; 值 的 加 权 平 方 和 来 表示 : 

M=a1S1 + aoS t+ anSy, a0(i=1l, 2, *…, n) 
式 中 ，wi 为 每 一 种 特征 的 权重 。 
如 果 选 用 标准 偏差 作为 判别 准则 ， 则 标准 偏差 计算 公式 如 下 : 


o=VM /tn -DD-o 


L=M/n 
如 果菜 异常 程度 值 3 超出 了 vw 土 c ， 就 认为 出 现 异 常 。 
概率 统计 方法 的 优越 性 在 于 能 应 用 成 熟 的 概率 统计 理论 。 但 也 有 一 些 不 足 之 处 ， 如 统 
计 检 测 对 事件 发 生 的 次 序 不 敏感 ， 也 就 是 说 ， 完 全 依靠 统计 理论 可 能 漏 检 那些 利用 彼此 关 
联 事件 的 入 侵 行 为 。 其 次 ， 定 义 是 否 入 侵 的 异常 程度 值 S 也 比较 困难 。S 太 低 ， 则 漏 检 率 
提高 ，S 太 高 ， 则 误 检 率 提高 。 


2. 神经 网 络 方法 


利用 神经 网 络 检测 入 侵 的 基本 思想 是 用 一 系列 信息 单元 (命令 ) 训 练 神经 元 ， 这 样 在 给 
定 一 组 输入 值 后 ， 就 可 能 预测 出 输出 结果 。 与 统计 理论 相 比 ， 神 经 网 络 更 好 地 表达 了 变量 
间 的 非 线性 关系 ， 并 且 能 自动 学 习 和 更 新 。 实 验 表 明 ，UNIX 系统 管理 员 的 行为 几乎 全 是 
可 以 预测 的 ， 不 可 预测 的 行为 只 占 了 很 少 的 一 部 分 。 

神经 网 络 模块 结构 是 当前 命令 和 刚 过 去 的 Y 个 命令 组 成 了 神经 网 络 的 输入 层 ， 其 中 N 
是 神经 网 络 预测 下 一 个 命令 时 所 包含 的 过 去 命令 集 的 大 小 。 根 据 用 户 的 典型 命令 序列 训练 
网 络 后 ， 该 网 络 就 形成 了 对 应 用 户 的 特征 命令 表 ， 网 络 对 当前 用 户 事件 与 用 户 的 特征 命令 
表 中 的 事件 进行 比较 ， 预 测 用 户 行为 是 否 异 常 。 基 于 神经 网 络 的 检测 思想 示意 图 如 图 7.2 
所 示 。 


其 中 ， 


预测 的 下 一 个 命令 


输出 层 


图 7.2 用 于 入 侵 检测 的 神经 网 络 示意 图 
图 7.2 中 ， 输 入 层 的 Y 个 箭头 代表 了 用 户 最 近 的 YX 个 命令 ， 输 出 层 预 测 用 户 将 要 发 生 
的 下 一 个 动作 。 神 经 网 络 方法 的 优点 在 于 能 更 好 地 处 理 原始 数据 的 随机 特征 ， 即 不 需要 对 
这 些 数据 做 任何 统计 假设 ， 并 且 有 较 好 的 抗 干扰 能 力 。 缺 点 在 于 网 络 拓扑 结构 以 及 各 元 素 


@_ 


的 权重 很 难 确定 , 命令 窗口 N 的 大 小 也 难以 选取 。 窗 口 太 小 , 则 网 络 输出 不 好 ; 窗口 太 大 ， 
则 网 络 会 因为 处 理 大 量 无 关 数 据 而 降低 效率 。 
7.3.3 ”高 级 检测 技术 


高 级 检测 技术 主要 包括 文件 完整 性 检查 、 计 算 机 免疫 技术 、 遗 传 算法 、 模 糊 证 据 理论 、 
数据 挖掘 和 数据 融合 等 。 
1. 文件 完整 性 检查 


文件 完整 性 检查 系统 检查 计算 机 中 自 上 次 检查 后 文件 的 变化 情况 ， 它 能 够 保存 每 个 文 


| 件 的 数字 文摘 数据 库 ， 每 次 检查 时 ， 重 新 计算 文件 的 数字 文摘 ， 并 将 其 与 数据 库 中 的 什 相 


比较 。 如 不 同 则 说 明文 件 已 被 修改 ; 若 相 同 ， 则 说 明文 件 未 发 生变 化 。 

文件 的 数字 文摘 通过 Hash 函数 计算 得 到 。 不管 文件 长 度 如 何 , 其 计算 结果 都 是 一 个 固 
定 长 度 的 数字 。 与 加 密 算法 不 同 ，Hash 算法 是 一 个 不 可 逆 的 单 向 函数 。 采 用 安全 性 高 的 
Hash 算法 ， 如 MD5、SHA 时 ， 两 个 不 同 的 文件 几乎 不 可 能 得 到 相同 的 Hash 结果 。 因 此 
文件 一 旦 被 修改 ， 就 可 检测 出 来 。 

在 文件 完整 性 检查 中 功能 最 全 面 的 当 数 Tripwire， 其 开放 源 代码 的 版 本 可 以 从 
Http://www.tripwire.org 中 获得 。 文 件 完整 性 检查 系统 具有 以 下 优点 : 从 数学 上 分 析 ， 攻 克 
文件 完整 性 检查 系统 ， 无 论 是 时 间 上 还 是 空间 上 都 是 不 可 能 的 。 文 件 完 整 性 检查 系统 具有 
相当 大 的 灵活 性 ， 可 以 配置 成 监测 系统 中 的 所 有 文件 或 某 些 重要 文件 。 当 一 个 入 侵 者 攻击 
系统 时 ， 首 先 ， 他 要 通过 更 改 系统 中 的 可 执行 文件 、 库 文件 或 日 志文 件 来 隐藏 他 的 活动 ; 
其 次 ， 他 要 做 一 些 改动 以 保证 下 次 能 够 继续 入 侵 。 这 两 种 活动 都 能 够 被 文件 完整 性 检查 系 
统 检测 出 来 。 

文件 完整 性 检查 系统 的 弱点 是 依赖 于 本 地 的 文摘 数据 库 。 与 日 志文 件 一 样 ， 这 些 数据 
可 能 被 入 侵 者 修改 。 当 一 个 入 侵 者 取得 管理 员 权限 ， 在 完成 破坏 活动 后 ， 可 以 运行 文件 完 
整 性 检查 系统 更 新 数据 库 ， 从 而 瞒 过 系统 管理 员 。 做 一 次 完整 的 文件 完整 性 检查 非常 耗 时 。 
在 Tripwire 中 ， 可 选择 检查 某 些 系统 特性 而 不 是 完全 的 摘要 ， 从 而 加 快 检查 速度 。 系 统 有 
些 正 常 的 更 新 操作 可 能 会 带 来 大 量 的 文件 更 新 ， 从 而 增加 比较 繁杂 的 检查 与 分 析 工 作 ， 如 
在 Windows NT 系统 中 升级 Outlook 将 会 带 来 1800 多 个 文件 变化 等 。 


2. 计算 机 免疫 技术 


Forrest 等 首次 提出 计算 机 免疫 技术 ， 这 种 免疫 机 制 在 处 理 外 来 异常 时 呈现 了 分 布 的 、 
多 样 性 的 、 自 治 的 及 自修 复 的 特征 ， 免 疫 系统 通过 识别 异常 或 以 前 未 出 现 的 特征 来 确定 入 
侵 。 计 算 机 免疫 技术 为 入 侵 检测 提供 了 一 个 思路 ， 即 通过 正常 行为 的 学 习 来 识别 不 符合 常 
态 的 行为 序列 。 

当 系 统 的 一 个 关键 程序 投入 使 用 后 ， 其 与 系统 用 户 行为 的 易 变 性 相 比 ， 具 有 相对 的 稳 
定性 。 因 而 可 以 利用 系统 进程 正常 执行 轨迹 中 的 系统 调用 序列 集 ， 来 构建 系统 进程 正常 执 
行 活动 的 特征 轮廓 。 由 于 利用 这 些 关 键 程序 的 缺陷 进行 攻击 时 ， 对 应 的 进程 必然 执行 一 些 
不 同 于 正常 执行 时 的 代码 分 支 ， 因 而 就 会 出 现 关 键 程序 特征 轮廓 中 没有 的 系统 调用 序列 。 
当 检 测 到 该 调用 序列 的 量 达 到 某 一 条 件 后 ， 就 认为 被 监控 的 进程 企图 攻击 系统 。 
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只 有 获得 程序 运行 的 所 有 情况 的 执行 轨迹 ， 才 能 使 得 到 的 程序 特征 轮廓 很 好 地 刻画 程 
序 的 特征 ， 从 而 降低 虚 警 率 。 用 这 种 方法 检测 不 出 能 够 利用 程序 合法 活动 获取 非 授权 存 取 
的 攻击 ， 因 此 ， 这 项 技术 还 需要 进一步 深入 研究 。 


3. 遗传 算法 


遗传 算法 的 基本 思想 来 源 于 Darwin 的 进化 论 和 Mendel 的 遗传 学 说 , 最 早 由 BagleyJD 
在 1967 年 提出 。 遗 传 算法 在 入 侵 检测 中 的 应 用 时 间 不 长 ， 在 一 些 研究 试验 中 ， 利 用 若干 字 
符 串 序 列 来 定义 用 于 分 析 检 测 的 指令 组 ， 这 些 指令 在 初始 训练 阶段 不 断 进化 ， 提 高 了 分 析 
能 力 。 此 外 ， 也 有 人 将 遗传 算法 与 神经 网 络 相 结合 ， 将 其 应 用 于 网 络 的 学 习 、 网 络 的 结构 
设计 和 网 络 的 分 析 等 方面 ， 然 后 应 用 到 入 侵 检测 领域 。 

遗传 算法 虽然 潜力 巨大 、 前 景 广阔 ， 但 其 本 身 还 有 很 多 问题 有 待 探讨 ， 应 用 还 有 待 于 
进一步 的 研究 。 


4. 模糊 证 据 理 论 


入 侵 检测 的 评判 标准 本 身 就 具有 一 定 的 模糊 性 ， 模 糊 证 据 理论 因此 被 引入 到 入 侵 检 测 
中 。 李 之 棠 等 建立 了 一 种 基于 模糊 专家 系统 的 入 侵 检 测 框架 模型 ， 该 模型 吸收 了 误 用 检测 
和 异常 检测 的 优点 ， 能 较 好 地 降低 漏 警 率 和 虚 警 率 。 


5. 数据 挖掘 


数据 挖掘 (Data Mining) 也 称 数 据 库 中 的 知识 发 现 Knowledge Discovery in Database， 
KDD)。 数据 挖掘 是 指 从 大 型 数据 库 中 提取 人 们 感 兴趣 的 知识 ,提取 的 知识 一 般 可 表示 为 概 
念 (Concepts)、 规 则 (Rules)、 规 律 (Regularities) 和 模式 (Patterns) 等 形式 。 数 据 挖掘 是 一 门 交 
叉 性 学 科 ， 涉 及 机 器 学 习 、 模 式 识别 、 归 纳 推理 、 统 计 学 、 数 据 库 、 数 据 可 视 化 及 高 性 能 
计算 等 多 个 领域 。 

数据 挖掘 技术 在 入 侵 检测 中 主要 有 两 个 方向 : 一 是 发 现 入 侵 的 规则 、 模 式 ， 与 模式 匹 
配 检测 方法 相 结合 ， 二 是 用 于 异常 检测 ， 找 出 用 户 正常 行为 ， 创 建 用 户 的 正常 行为 库 。 提 
出 这 个 技术 的 目的 之 一 是 为 了 弥补 模式 匹配 技术 对 未 知 攻击 无 能 为 力 的 弱点 ; 还 有 就 是 使 
检测 模型 的 构建 自动 化 ， 发 展 异常 检测 方法 。 

6. 数据 融合 

数据 融合 是 针对 同一 系统 中 使 用 多 个 或 多 类 传感器 这 一 特定 问题 展开 的 一 种 新 的 数据 
处 理 方法 ， 因 此 数据 融合 又 称 为 多 传感器 信息 融合 或 信息 融合 。 多 传感器 数据 融合 的 定义 
可 概括 为 充分 利用 不 同时 间 与 空间 的 多 传感器 数据 资源 ， 采 用 计算 机 技术 对 按时 间 序 列 获 
得 的 多 传感器 观测 数据 ， 在 一 定 规则 下 进行 分 析 、 综 合 、 支 配 和 使 用 ， 获 得 对 被 测 对 象 的 
一 致 性 解释 与 描述 ， 进 而 实现 相应 的 决策 和 评估 ， 使 系统 获得 比 其 各 组 成 部 分 更 充分 的 
信息 。 

多 传感器 系统 是 数据 融合 的 硬件 基础 ， 多 源 信息 是 数据 融合 的 加 工 对 象 ， 协 调 优 化 和 
综合 处 理 是 数据 融合 的 核心 。 

数据 融合 系统 主要 有 局 部 式 和 全 局 式 两 种 。 局 部 式 又 称 为 自 备 式 ， 这 种 数据 融合 系统 
收集 来 自 单个 平台 的 多 个 传感器 数据 ， 也 可 以 用 于 检测 对 象 相对 单一 的 智能 检测 系统 中 。 


全 局 式 又 称 为 区 域 式 ， 这 种 数据 融合 系统 组 合 来 自 空间 和 时 间 上 各 不 相同 的 多 平台 、 多 个 
传感器 的 数据 ， 大 型 军事 防御 系统 与 多 参数 或 参数 间 交 又 影响 的 智能 检测 系统 大 都 采用 这 
种 融合 方式 。 

多 传感器 数据 融合 与 单传 感 器 处 理 相 比 ， 其 复杂 性 大 大 增加 。 

数据 融合 的 入 侵 检测 系统 要 能 够 提供 高 质量 的 信息 ， 即 提供 的 信息 要 比 没有 采用 融合 
的 系统 提供 的 信息 具有 更 高 的 质量 。 因 此 能 降低 系统 的 误 报 数量 和 误 警 率 。 


7.3.4 ”入 侵 诱骗 技术 
1. 概念 


入 侵 诱 骗 技 术 是 较 传统 入 侵 检 测 技术 更 为 主动 的 一 种 安全 技术 。 入 侵 诱 骗 技 术 包括 蜜 
镀 (Honeypot) 和 蜜 网 (Honeynet) 两 种 ， 加 载 蜜 铅 技 术 和 蜜 网 技术 的 系统 分 别称 为 蜜 钢 系 统 和 
蜜 网 系统 。 顾 名 思 义 ， 入 侵 诱骗 技术 就 是 用 特有 的 特征 吸引 攻击 者 ， 以 便 对 攻击 者 的 各 种 
攻击 行为 进行 分 析 ， 并 找到 有 效 的 对 付 方法 。 为 了 吸引 攻击 者 ， 网 络 安全 专家 通常 还 在 蜜 
铅 上 故意 留 下 一 些 安全 后 门 , 或 者 放置 一 些 网 络 攻 击 者 希望 得 到 的 敏感 信息 (当然 这 些 信息 
都 是 虚假 的 信息 )。 当 攻击 者 正 为 攻 入 目标 系统 而 沾沾自喜 ， 他 在 目标 系统 中 的 所 有 行为 ， 
包括 输入 的 字符 、 执 行 的 操作 等 都 已 经 被 蜜 缸 所 记录 。 

2. 宣 锥 技术 


蜜 钠 是 一 种 被 侦 听 、 被 攻击 或 已 经 被 入 侵 的 资源 ， 也 就 是 说 ， 无 论 如 何 对 蜜 钢 进 行 配 
置 , 最 终 目的 就 是 使 得 整个 系统 处 于 被 侦 听 、 被 攻击 的 状态 。 蜜 钢 并 非 一 种 安全 解决 方案 ， 
这 是 因为 它 并 不 会 “修理 ”任何 错误 ， 它 只 是 一 种 工具 ， 如 何 使 用 这 个 工具 取决 于 使 用 者 
想 要 做 什么 。 

蜜 钢 可 以 仅仅 是 一 个 对 其 他 系统 和 应 用 的 仿真 ， 也 可 以 创建 一 个 监禁 环境 将 攻击 者 转 
困 其 中 ， 还 可 以 是 一 个 标准 的 产品 系统 。 无 论 使 用 者 如 何 建立 和 使 用 蜜 镀 ， 只 有 蜜 负 受 到 
攻击 ， 其 作用 才能 发 挥 出 来 。 

为 了 方便 攻击 者 攻击 ， 最 好 是 将 蜜 镀 设 置 成 域名 服务 器 (Domain Name Server，DNS)、 
Web 或 电子 邮件 转发 服务 等 流行 应 用 中 的 某 一 种 。 

从 传统 意义 上 讲 ， 网 络 安全 要 做 的 工作 主要 是 防御 ， 防 止 自己 负责 的 资源 免 受 入 侵 者 
攻击 ; 尽力 保护 自己 的 系统 ， 检 测 防御 中 的 失误 ， 并 采取 相应 的 措施 ， 这 些 安 全 措施 都 只 
能 检测 到 已 知 类 型 的 攻击 和 入 侵 。 而 蜜 网 设计 的 目的 就 是 从 现存 的 各 种 威胁 中 提取 有 用 的 
信息 ， 发 现 新 型 的 攻击 工具 ， 确 定 攻击 的 模式 并 研究 攻击 者 的 攻击 动机 。 


3. 密 网 技术 


蜜 网 可 以 获取 攻击 者 信息 ， 大 部 分 传统 的 蜜 色 都 进行 对 攻击 的 诱骗 或 检测 。 这 些 传统 
的 蜜 铅 通 常 都 是 一 个 单独 的 系统 ， 用 于 模拟 其 他 系统 、 已 知 的 服务 和 弱点 。 蜜 网 不 同 于 传 
统 的 蜜 炙 ， 它 并 不 是 一 种 比 传统 的 蜜 钢 更 好 的 解决 方案 ， 只 是 其 侧重 点 不 同 而 已 。 其 工作 
实质 是 在 各 种 网 络 迹象 中 获取 所 需 的 信息 ， 而 不 是 对 攻击 进行 诱骗 或 检测 。 

蜜 网 在 设计 上 与 蜜 钠 有 两 点 不 同 。 

(1) 蜜 网 不 是 一 个 单独 的 系统 ， 而 是 由 多 个 系统 和 多 个 攻击 检测 应 用 组 成 的 网 络 。 这 


第 7 章 放 侵 褒 测 技术 @@ 


个 网 络 放置 在 防火 墙 后 ， 可 以 监控 、 捕 获 并 控制 所 有 进出 网 络 的 数据 ， 根 据 捕获 的 数据 信 
息 分 析 的 结果 就 可 以 得 到 攻击 组 织 所 使 用 的 工具 、 策 略 和 动机 。 

蜜 网 内 可 以 同时 包含 多 种 系统 ， 比 如 Solaris、Linux、Windows NT、Cisco 路 由 器 和 
Alteon 交换 机 等 ， 可 以 创建 一 个 反映 真实 产品 情况 的 网 络 环境 。 此 外 ， 不 同 的 系统 还 可 以 
采用 不 同 的 应 用 ， 比 如 Linux DNS 服务 器 、Windows IIS 网 络 服务 器 和 Solaris 数据 库 服 务 
器 等 ， 这 样 就 可 以 更 加 准确 地 概括 不 同 攻击 者 的 不 同意 图 和 特点 。 

(2) 所 有 放置 在 蜜 网 中 的 系统 都 是 标准 的 产品 系统 。 这 些 系统 和 应 用 都 是 用 户 可 以 在 
Intemet 上 找到 的 真实 系统 和 应 用 。 该 网 络 中 的 任何 一 部 分 都 不 是 模拟 的 应 用 ， 并且 这 些 应 
用 都 具有 与 真实 的 系统 相同 的 安全 等 级 。 因 此 ， 在 蜜 网 中 发 现 的 漏洞 和 弱点 就 是 真实 存在 
并 需要 改进 的 问题 ， 用 户 所 需 做 的 就 是 将 系统 从 产品 环境 移植 到 蜜 网 中 。 


7.3.5 ”入 侵 响 应 技术 


入 侵 响 应 技术 是 入 侵 检 测 技术 的 配套 技术 ， 一 般 的 入 侵 检 测 系统 会 同时 使 用 这 两 种 技 
术 。 根 据 系 统 设计 的 功能 和 目的 不 同 ， 有 时 也 称 以 实施 入 侵 响 应 技术 为 主 的 系统 为 入 侵 响 
应 系统 。 

入 侵 响应 技术 可 分 为 主动 响应 和 被 动 响应 两 种 类 型 。 在 主动 响应 里 ， 入 侵 检测 系统 能 
阻塞 攻击 ， 或 影响 进而 改变 攻击 的 进程 ， 在 被 动 响应 里 ， 入 侵 检测 系统 仅仅 简单 地 报告 和 
记录 所 检测 出 的 问题 。 主 动 响应 和 被 动 响应 并 不 是 相互 排斥 的 。 不 管 使 用 哪 一 种 响应 机 制 ， 
入 侵 检测 系统 总 能 以 日 志 的 形式 记录 检测 结果 。 


1. 主动 响应 


主动 响应 即 检测 到 入 侵 后 立即 采取 行动 。 主 动 响应 有 两 种 形式 : 一 种 是 由 用 户 驱 动 的 ， 
另 一 种 是 由 系统 本 身 自动 执行 的 。 对 入 侵 者 采取 反击 行动 ， 修 正 系统 环境 和 收集 尽 可 能 多 
的 信息 是 主动 响应 的 基本 手段 。 

1) ”对 入 侵 者 采取 反击 行动 

警告 攻击 者 、 跟 踪 攻 击 者 、 断 开 危 险 连接 和 对 攻击 者 的 攻击 是 最 严厉 的 一 种 主动 反击 
手段 。 这 种 响应 方法 有 一 定 的 风险 。 

(1) 根据 黑客 最 常用 的 攻击 方法 ， 被 确认 为 攻击 的 源头 系统 很 可 能 是 黑客 的 另 一 个 牺 
牲 品 。 成 功 攻击 一 个 系统 ， 然 后 使 用 他 作为 攻击 另 一 个 系统 的 平台 ， 这 是 攻击 者 进行 攻击 
的 基本 手段 之 一 。 如 果 瞄 准 这 个 攻击 源头 系统 ， 很 可 能 反击 的 是 一 个 无 率 的 同伴 。 

(2) 即使 攻击 者 确实 来 自 一 个 合法 控制 的 系统 ,但 如 果 使 用 攻击 源 IP 地 址 欺骗 ， 攻 击 
系统 的 源 卫 地 址 实际 上 可 能 是 另 一 个 牺牲 者 。 

(3) 简单 的 反击 可 能 会 车 起 对 手 更 大 的 攻击 。 

(4) 在 许多 情况 下 ， 反 击 会 冒 违法 犯罪 的 风险 。 如 果 你 的 行为 攻击 了 无 率 的 一 方 ， 该 
方 可 能 要 控告 你 ， 并 要 求 赔 偿 其 损失 。 况 且 ， 你 的 反击 本 身 可 能 违反 了 计算 机 相关 法 规 。 

对 入 侵 者 采取 反击 行动 也 可 以 以 温和 的 方式 进行 。 比 如 ， 记 录 安 全 事件 、 产 生 报警 信 
息 、 记 录 附 加 日 志和 激活 附加 入 侵 检测 工具 等 。 

介 于 温和 与 严厉 之 间 的 手段 有 隔离 入 侵 者 卫 、 禁 止 被 攻击 对 象 的 特定 端口 和 服务 以 及 
隔离 被 攻击 对 象 等 。 


另 一 种 响应 方式 是 自动 地 向 入 侵 者 可 能 来 自 的 系统 的 管理 员 发 送 E-mail， 并 且 请 求 协 
助 确认 入 侵 者 和 处 理 相关 问题 。 当 黑客 通过 拨号 连接 进入 系统 时 ， 这 种 响应 方式 还 能 产生 
多 种 用 途 。 

2) ”修正 系统 环境 

修正 系统 环境 较 直接 采取 反击 的 主动 性 要 差 一 些 ， 当 与 提供 调查 支持 的 响应 结合 在 一 
起 时 ， 却 往往 是 一 种 更 好 的 响应 方案 。 在 一 些 入 侵 检测 系统 中 ， 这 类 响应 也 许 通 过 增加 敏 
感 程度 改变 分 析 引 擎 的 操作 特征 ， 通 过 插入 规则 改变 专家 系统 ， 即 通过 这 些 规则 提高 对 某 
些 攻击 的 怀疑 水 平 ， 或 增加 监视 范围 以 更 好 地 收集 信息 。 这 种 策略 类 似 于 实时 过 程控 制 系 


| 统 中 的 反馈 机 制 ， 即 目前 系统 处 理 过 程 的 输出 将 用 来 调整 和 优化 下 一 个 处 理 过 程 。 


3) ”收集 额外 信息 

主动 响应 的 第 3 种 方法 是 收集 额外 信息 。 当 被 保护 的 系统 非常 重要 且 系 统 的 主人 想 进 
行 配置 改进 时 ， 这 种 方法 特别 有 用 。 前 面 提 到 的 蜜 缸 技术 实际 上 就 是 一 种 有 效 的 收集 信息 
的 手段 ， 以 这 种 方式 收集 的 信息 对 那些 网 络 安全 威胁 趋势 分 析 人 员 来 说 也 是 有 价值 的 。 


2. 被 动 响应 


被 动 响应 就 是 只 向 用 户 提供 信息 ， 而 由 用 户 去 决定 是 否 采 取 下 一 步行 动 的 响应 。 在 早 
期 的 入 侵 检测 系统 里 ， 所 有 的 响应 都 是 被 动 的。 以 下 列举 两 种 常用 的 被 动 响应 技术 。 

1) ”告警 和 通知 

绝 大 多 数 入 侵 检 测 系统 提供 多 种 形式 的 告警 生成 方式 以 供 选择 ， 人 允许 用 户 设 置 告警 以 
适合 本 组 织 的 系统 操作 程序 规范 。 

(1) 告警 显示 屏 。 入 侵 检测 系统 提供 的 最 常用 的 告警 和 通知 方式 是 屏幕 告警 或 窗口 告 
警 ， 这 种 告警 消息 出 现在 入 侵 检测 系统 控制 台 上 ， 或 由 用 户 配 置 的 其 他 系统 上 。 在 告警 消 
息 方面 ， 不 同 的 系统 提供 不 同 的 详细 程度 ， 范 围 从 简单 的 “一 个 入 侵 已 经 发 生 ” 到 列 出 此 
问题 的 表面 源头 、 攻 击 的 目标 、 入 侵 的 本 质 意图 以 及 攻击 是 否 成 功 等 广泛 性 记录 。 在 一 些 
系统 里 告警 消息 的 内 容 也 可 以 用 户 自己 定制 。 

(2) 告警 和 警报 的 远程 通知 。 按 时 钟 协调 运行 多 系统 的 组 织 使 用 另 一 种 告警 /警报 形 
式 。 在 这 些 情形 下 ， 入 侵 检测 系统 能 通过 拨号 或 移动 电话 向 系统 管理 员 或 安全 工作 人 员 发 
出 告警 和 警报 消息 。 

E-mail 消息 是 另 一 种 通知 手段 ， 在 某 些 情形 下 ， 通 知 选项 允许 用 户 配置 附加 信息 或 告 
警 编码 给 相应 单位 。 

2) ”SNMP 陷阱 和 插件 

Intemet 上 的 SNMP 陷阱 服务 接收 由 本 地 或 远程 SNMP 代理 生成 的 陷阱 消息 ， 然 后 将 
这 些 消 息 转发 给 用 户 的 计算 机 上 运行 的 SNMP 管理 程序 .为 代理 配置 了 SNMP 陷阱 服务 后 ， 
如 果 发 生 任 何 特 定 的 事件 ， 都 将 生成 陷阱 消息 。 这 些 消息 被 发 送 到 陷阱 目标 。 例 如 ， 可 以 
将 代理 配置 为 在 无 法 识别 的 管理 系统 发 送信 息 请 求 时 启动 身份 验证 陷阱 。 陷 阱 目标 包括 管 
理 系统 的 计算 机 名 、 人 P 地 址 或 Intemet 数据 包 交 换 (IPX) 地 址 。 陷 阱 目标 必须 是 启用 网 络 并 
且 运 行 SNMP 管理 软件 的 主机 。 

有 些 入 侵 检 测 系统 与 网 络 管理 工具 一 起 使 用 。 它 能 使 用 网 络 管理 基础 设施 来 传送 在 网 
络 管理 控制 台 显 示 的 告警 和 警报 信息 , 它 依附 简单 网 络 管理 协议 (SNMP) 的 消息 或 陷阱 作为 
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一 个 告警 选项 。 一 些 商业 化 产品 里 提供 这 个 功能 选项 ， 入 侵 检测 系统 有 可 能 和 网 络 管理 系 
统 更 彻底 地 集成 在 一 起 。 这 种 集成 能 提高 使 用 通信 信道 的 能 力 和 网 络 环境 中 对 安全 提供 主 
动 响应 的 能 力 。 


7.4 入 侵 检 测 体系 


本 节 在 给 出 通用 入 侵 检测 模型 的 基础 上 ， 对 主机 入 侵 检测 系统 、 网 络 入 侵 检测 系统 和 
分 布 式 入 侵 检测 系统 的 概念 和 特点 进行 集中 讲解 。 


7.4.1 入 侵 检 测 模 型 


为 了 更 好 地 研究 入 侵 检测 系统 ， 人 们 将 其 各 个 组 成 部 分 抽象 出 来 ， 形 成 各 种 入 侵 检 测 
模型 。 较 通用 的 模型 有 Denning 模型 和 CIDF 模型 。 


1. Denning 模型 
Denning 于 1987 年 提出 了 一 个 通用 的 入 侵 检 测 模型 ， 如 图 7.3 所 示 。 


图 7.3 Denning 入 侵 检测 模型 


图 7.3 所 示 的 模型 中 包含 6 个 主要 部 分 。 

(1) 主体 (Subjects)。 在 目标 系统 上 活动 的 实体 ， 如 用 户 。 

(2) 对 象 (Objects)。 指 系统 资源 ， 如 文件 、 设 备 、 命 令 等 。 

(3) 审计 记录 (Audit Records)。 由 主体 、 活 动 (Action)、 异 常 条 件 (Exception-Condition)、 
资源 使 用 状况 (Resource-Usage) 和 时 间 玲 (Time-Stamp) 等 组 成 。 其 中 活动 是 指 主体 对 目标 的 
操作 ， 异 常 条 件 是 指 系 统 对 主体 的 异常 情况 的 报告 ， 资 源 使 用 状况 是 指 系 统 的 资源 消耗 
情况 。 

(4) 活动 档案 (Active Profile)。 即 系统 正常 行为 模型 ， 保 存 系统 正常 活动 的 有 关 信 息 。 
在 各 种 检测 方法 中 其 实现 各 不 相同 。 在 统计 方法 中 可 以 从 事件 数量 、 频 度 、 资 源 消 耗 等 方 
面 度量 。 

(5) 异常 记录 (Anomaly Record)。 其 由 事件 、 时 间 惟 和 审计 记录 组 成 ,表示 异 常事 件 的 
发 生 情 况 。 

(6) 活动 规则 (Active Rule)。 判 断 是 否 为 入 侵 的 准则 及 要 采取 的 行动 。 一 般 以 系统 正常 
活动 模型 为 基准 ， 根 据 专 家 系统 或 统计 方法 对 审计 记录 进行 分 析 处 理 ， 在 发 现 入 侵 时 采取 


@_ 


由 | 相 应 的 对 策 。 

网 2. CIDF 模型 

pa CIDF(Common Intruction Detection Framework, 入 侵 检 测 系统 的 通用 模型 ) 包 括 入 侵 检 
EF 


测 系统 的 体系 结构 、 通 信 机 制 、 描 述 语言 和 应 用 编程 接口 (APD 等 4 个 方面 。 

其 中 体系 结构 如 图 7.4 所 示 。 模 型 中 ， 入 侵 检测 系统 分 为 4 个 基本 组 件 ， 即 事件 产生 
器 、 事 件 分 析 器 、 响 应 单元 和 事件 数据 库 。 其 中 的 事件 是 指 入 侵 检测 系统 需要 分 析 的 数据 。 
这 4 个 组 件 只 是 逻辑 实体 ， 一 个 组 件 可 能 是 某 台 计算 机 上 的 一 个 进程 甚至 线程 ， 也 可 能 是 
| 多 个 计算 机 上 的 多 个 进程 。 它 们 以 GIDO( 统 一 入 侵 检测 对 象 ) 格 式 进行 数据 交换 。 

这 种 划分 体现 了 入 侵 检测 系统 所 必须 具有 的 体系 结构 : 数据 获取 、 数 据 分 析 、 行 为 响 
应 和 数据 管理 ， 因 此 具有 通用 性 。 事 件 产生 器 、 事 件 分 析 器 和 响应 单元 通常 以 应 用 程序 的 
形式 出 现 ， 而 事件 数据 库 则 以 文件 或 数据 流 的 形式 出 现 。GIDO 数据 流 可 以 是 发 生 在 系统 
中 的 审计 事件 或 对 审计 事件 的 分 析 结 果 。 


-~ | 响应 单元 “| 输出 反应 或 事件 


| 高 级 中 断 事件 | 输出 : 事件 的 存储 信息 


事件 分 析 器 |- 二- ->| 事件 数据 库 


| 
! 输出 : 原始 或 低级 事件 
| 
于- | 事件 产生 器 上--------------- 


4 输出 : 原始 事件 集 


图 7.4 CIDF 入 侵 检测 模型 


事件 产生 器 的 任务 是 从 入 侵 检测 系统 之 外 的 计算 机 中 收集 事件 ， 但 不 作 分 析 ， 将 这 些 
事件 转换 成 CIDF 的 GIDO 格式 传送 给 其 他 组 件 ; 事件 分 析 器 分 析 收 到 的 GIDO, 并 将 产生 
的 新 的 GIDO 再 传送 给 其 他 组 件 ， 事 件数 据 库 用 来 存储 GIDO， 以 备 系 统 使 用 ， 响 应 单元 
处 理 收 到 的 GIDO， 并 根据 处 理 结 果 采 取 相 应 的 措施 ， 如 删除 相关 进程 、 将 连接 复位 及 修 
改 文件 权限 等 。 


7.4.2 ”入 侵 检测 体系 结构 


根据 入 侵 检 测 系统 的 保护 对 象 或 数据 来 源 ， 可 以 将 入 侵 检测 技术 分 为 主机 入 侵 检测 技 
术 和 网 络 入 侵 检测 技术 两 种 。 作 为 这 两 类 技术 的 实施 体系 ， 主 机 入 侵 检测 系统 和 网 络 入 侵 
检测 系统 是 两 类 基本 的 入 侵 检测 体系 ， 混 合 入 侵 检 测 系统 和 分 布 式 入 侵 检测 系统 则 是 在 此 
基础 上 的 延伸 。 


1. 主机 入 侵 检测 

基于 主机 的 入 侵 检测 出 现在 20 世纪 80 年 代 初 期 ， 那 时 网 络 还 没有 像 今天 这 样 普及 、 
复杂 ， 且 网 络 之 间 也 没有 完全 连通 。 在 这 较为 简单 的 环境 里 ， 检 查 可 疑 行为 的 检验 记录 是 
很 常见 的 操作 。 由 于 入 侵 在 当时 是 相当 少见 的 ， 因 此 对 攻击 进行 事后 分 析 就 可 以 防止 以 后 
的 攻击 。 主 机 入 侵 检测 系统 确切 的 定义 就 是 ， 安 装 在 单个 主机 或 服务 器 系统 上 ， 监 测 和 响 
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应 主机 或 服务 器 系统 的 入 侵 行 为 ， 并 对 主机 系统 进行 全 面 保护 的 系统 。 

主机 入 侵 检 测 系统 主要 是 对 该 主机 的 网 络 连接 行为 ， 以 及 系统 审计 日 志 进 行 智能 分 析 
和 判断 。 如 果 其 中 主体 活动 十 分 可 疑 ， 入 侵 检 测 系 统 就 会 采取 相应 措施 。 作 为 对 主机 系统 
的 全 面 防护 ， 主 机 入 侵 检测 通常 包括 网 络 监控 和 主机 监控 两 个 方面 。 

主机 入 侵 检测 系统 在 发 展 过 程 中 融入 了 其 他 技术 ， 是 对 关键 系统 文件 和 可 执行 文件 的 
入 侵 检测 的 一 个 常用 方法 ， 是 通过 定期 检测 和 校 验 进行 的 ， 以 便 发 现 意外 的 变化 。 反 应 的 
快慢 与 轮 询 的 频率 有 直接 的 关系 。 最 后 ， 许 多 产品 都 是 监听 端口 的 活动 ， 并 在 特定 端口 被 
访问 时 向 管理 员 报警 。 这 类 检测 方法 将 基于 网 络 的 入 侵 检 测 的 基本 方法 融入 到 基于 主机 的 
检测 环境 中 。 尽 管 后 者 不 如 前 者 快捷 ， 但 却 有 前 者 无 法 比拟 的 优点 。 

(1) 性 能 价格 比 高 。 在 主机 数量 较 少 的 情况 下 ， 这 种 方法 的 性 能 价格 比较 高 。 尽 管 基 
于 网 络 的 入 侵 检测 系统 能 很 容易 地 提供 广泛 覆盖 ， 但 其 价格 通常 很 高 ， 而 基于 主机 的 入 侵 
检测 系统 花 销 较 小 ， 客 户 只 需 很 少 的 费用 用 于 最 初 的 安装 。 

(2) 细致 性 。 基 于 主机 的 入 侵 检测 系统 能 够 监视 用 户 和 文件 访问 活动 , 包括 文件 访问 、 
改变 文件 权限 、 试 图 建立 新 的 可 执行 文件 及 试图 访问 特许 服务 等 。 例 如 ， 基 于 主机 的 入 侵 
检测 系统 可 以 监督 所 有 用 户 登 录 及 退出 登录 的 情况 ， 以 及 每 个 用 户 在 连接 到 网 络 以 后 的 行 
为 。 此 外 ， 基 于 主机 技术 还 可 监视 通常 只 有 管理 员 才能 实施 的 非 正常 行为 ， 并 且 能 够 记录 
所 有 用 户 账号 的 添加 、 删 除 、 更 改 的 情况 。 

(3) 针对 性 。 一 旦 入 侵 者 得 到 了 一 个 主机 的 用 户 名 和 口令 ， 基 于 主机 的 入 侵 监测 系统 
最 有 可 能 区 分 正常 的 活动 和 非法 的 活动 。 

(4) 易于 删除 。 每 一 个 主机 有 自己 的 代理 ， 用 户 删 除 更 方便 。 

(5) 无 须 专门 硬件 。 基 于 主机 的 方法 有 时 不 需要 增加 专门 的 硬件 平台 。 基 于 主机 的 入 
侵 检测 系统 存在 于 现 有 的 网 络 结构 中 ， 包 括 文件 服务 器 、Web 服务 器 及 其 他 共享 资源 ， 因 
此 ， 基 于 主机 的 系统 效率 很 高 。 

(6) 对 网 络 流量 不 敏感 。 用 代理 的 方式 一 般 不 会 因为 网 络 流量 的 增加 而 放弃 对 网 络 行 
为 的 监视 。 

(7) 适用 于 被 加 密 的 及 切换 的 环境 。 由 于 基于 主机 的 系统 安装 在 遍布 企业 的 各 种 主机 
上 ， 因 此 它们 有 比 基 于 网 络 的 入 侵 检 测 系统 更 加 加 密 的 环境 。 交 换 设备 可 将 大 型 网 络 分 成 
许多 小 型 网 络 段 加 以 管理 ， 所 以 从 覆盖 足够 大 的 网 络 范围 的 角度 出 发 ， 很 难 确定 配置 基于 
网 络 的 入 侵 检 测 系统 的 最 佳 位 置 。 基 于 主机 的 入 侵 检测 系统 可 安装 在 所 需 的 重要 主机 上 ， 
在 交换 的 环境 中 具有 更 高 的 能 见 度 。 

根据 加 密 方式 在 协议 堆栈 中 位 置 的 不 同 ， 基 于 网 络 的 系统 可 能 对 某 些 攻击 没有 反应 。 
对 基于 主机 的 入 侵 检测 系统 没有 这 方面 的 限制 。 

(8) 确定 攻击 是 否 成 功 。 由 于 基于 主机 的 入 侵 检测 系统 使 用 已 发 生 事件 的 信息 ， 因 此 
它 比 基于 网 络 的 入 侵 检测 系统 更 能 准确 地 判断 攻击 是 否 成 功 。 


2. 网 络 入 侵 检 测 


网 络 入 侵 检 测 使 用 原始 网 络 包 作为 数据 源 ， 它 通常 利用 一 个 运行 在 混杂 模式 下 的 网 络 
适配器 来 实时 监视 并 分 析 通 过 网 络 的 所 有 通信 业务 ， 其 攻击 识别 模块 通常 使 用 4 种 常用 技 
术 来 识别 攻击 标志 ， 即 模式 、 表 达 式 或 字 节 匹配 、 频 率 或 穿越 阐 值 、 次 要 事件 的 相关 性 和 
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非常 规 现象 检测 等 。 

一 旦 检测 到 攻击 行为 ， 入 侵 检测 系统 的 响应 模块 就 提供 多 种 选项 以 通知 、 报 警 ， 并 对 
攻击 采取 相应 的 反应 。 反 应 因 产品 而 异 ， 但 通常 都 包括 通知 管理 员 、 中 断 连接 并 且 做 会 话 
记录 等 。 实 际 上 ， 许 多 客户 在 最 初 使 用 入 侵 检 测 系统 时 ， 都 配置 了 基于 网 络 的 入 侵 检测 。 

基于 网 络 的 入 侵 检 测 系统 有 以 下 优点 。 

(1) 检测 速度 快 。 基 于 网 络 的 监测 器 通常 能 在 hs 或 s 级 时 间 内 发 现 问题 ， 而 大 多 数 基 
于 主机 的 产品 则 要 依靠 对 最 近 几 分 钟 内 审计 记录 的 分 析 才能 得 出 结果 。 

(2) 隐蔽 性 好 。 网 络 上 的 监测 器 不 像 主机 那样 显眼 和 易 被 存 取 ， 因 而 也 不 容易 遭受 攻 
击 。 基 于 网 络 的 监视 器 不 运行 其 他 应 用 程序 ， 不 提供 网 络 服务 ， 可 以 不 响应 其 他 计算 机 ， 
因此 比较 安全 。 

G) 视野 更 宽 。 基 于 网 络 的 入 侵 检测 可 以 在 网 络 的 边缘 上 ( 即 攻击 者 还 没 能 接 入 网 络 时 ) 
就 被 发 现 并 被 制止 。 

(4) 较 少 的 监测 器 。 由 于 使 用 一 个 监测 器 就 可 以 保护 一 个 共享 的 网 段 ， 所 以 不 需要 很 
多 的 监测 器 ， 相反， 如 果 基于 主机 ， 则 在 每 个 主机 上 都 需要 一 个 代理 ， 成 本 很 高 且 难 以 
管理 。 

(5) 攻击 者 不 易 转移 证 据 。 基 于 网 络 的 入 侵 检测 系统 使 用 正在 发 生 的 网 络 通信 进行 实 
时 攻击 的 检测 ， 所 以 攻击 者 无 法 转移 证 据 。 被 捕获 的 数据 不 仅 包括 攻击 的 方法 ， 而 且 还 包 
括 可 识别 黑客 身份 和 对 其 进行 起 诉 的 信息 。 许 多 黑客 都 熟知 审计 记录 ， 他 们 知道 如 何 操纵 
这 些 文件 来 掩盖 作案 痕迹 。 

(6) 操作 系统 无 关 性 。 基 于 网 络 的 入 侵 检测 系统 作为 安全 监测 资源 ， 与 主机 的 操作 系 
统 无 关 。 与 之 相 比 ， 基 于 主机 的 系统 必须 在 特定 的 、 没 有 唱 到 破坏 的 操作 系统 中 才能 正 党 
工作 。 

(7) 占用 资源 少 。 在 被 保护 的 设备 上 不 必 占 用 任何 资源 。 

网 络 入 侵 检测 系统 存在 以 下 弱点 。 

(1) 网 络 入 侵 检 测 系统 只 检测 直接 连接 到 的 网 段 通信 ， 不 能 检测 不 同 网 段 的 网 络 数 
据 包 。 

(2) 在 使 用 交换 以 太 网 的 环境 中 会 出 现 检测 范围 受 限 。 

G) 安装 多 台 网 络 入 侵 检测 系统 的 传感器 会 使 部 署 整个 系统 的 成 本 大 大 增加 。 

(4) 网 络 入 侵 检测 系统 为 了 优化 性 能 通常 采用 特征 检测 的 方法 ， 可 以 检测 出 普通 的 攻 
击 ， 但 很 难 实现 一 些 复杂 的 、 需 要 大 量 计算 与 分 析 时 间 的 攻击 检测 。 

(5) 网 络 入 侵 检测 系统 会 将 大 量 的 数据 传 回 分 析 系统 中 ， 在 监听 特定 的 数据 包 时 会 产 
生 大 量 的 分 析 数据 流量 。 因 而 传感器 协同 工作 能 力 较 弱 。 

(6 网络 入 侵 检测 系统 处 理 加 密 的 会 话 过 程 比较 困难 ， 目 前 ， 通 过 加 密 通道 的 攻击 尚 
不 多 ， 但 随 着 IPv6 的 普及 ， 这 个 问题 会 越 来 越 突出 。 

3. 混合 入 侵 检测 


主机 入 侵 检测 系统 和 网 络 入 侵 检 测 系统 各 有 其 优 缺 点 ， 混 合 使 用 基于 主机 和 基于 网 络 
这 两 种 方式 能 够 达到 更 好 的 检测 效果 。 例 如 ， 主 机 入 侵 检 测 系统 使 用 系统 日 志 作为 检测 依 
据 ， 在 确定 攻击 是 否 已 经 取得 成 功 时 与 网 络 入 侵 检测 系统 相 比 具有 更 大 的 准确 性 ， 因 此 主 
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机 入 侵 检 测 系 统 对 网 络 入 侵 检测 系统 是 一 个 很 好 的 补充 ， 人 们 完全 可 以 使 用 网 络 入 侵 检测 
系统 提供 早期 报警 ， 而 使 用 主机 入 侵 检测 系统 来 验证 攻击 是 否 取得 成 功 。 这 实际 上 就 是 混 
合 入 侵 检测 系统 的 概念 。 


4. 分 布 式 入 侵 检测 


分 布 式 入 侵 检测 系统 可 以 是 混合 入 侵 检测 系统 的 一 种 ， 也 可 以 仅仅 是 网 络 入 侵 检测 系 
统 的 分 布 式 整合 。 

传统 的 集中 式 入 侵 检测 技术 的 基本 原理 是 在 网 络 的 不 同 网 段 中 放置 多 个 传感器 或 探测 
器 ， 首 先 收 集 当前 网 络 状 态 的 信息 ， 然 后 将 这 些 信 息 传送 到 中 央 控 制 台 进行 处 理 和 分 析 。 
更 进一步 ， 有 的 传感器 具有 某 种 主动 性 ， 能 够 接收 中 央 控 制 台 的 某 些 命令 和 下 载 某 些 识别 
模板 。 

集中 式 模型 具有 以 下 几 个 明显 的 缺陷 。 

(1) 面 对 在 大 规模 、 异 构 网 络 基础 上 发 起 的 复杂 攻击 行为 ， 会 增加 中 央 控 制 台 的 工作 
负荷 ， 以 至 于 它 无 法 具有 足够 的 能 力 处 理 来 自 四 面 八方 的 消息 事件 。 因 此 ， 会 遗漏 许多 重 
大 消息 事件 ， 从 而 增加 漏 警 率 。 

(2) 由 于 网 络 传输 的 延 时 间 题 ， 到 达 中 央 控 制 台 的 数据 包 中 的 事件 消息 只 是 反映 了 其 
刚 被 生成 时 的 情况 ， 而 不 能 反映 随 着 时 间 而 改变 的 当前 状态 。 这 使 得 基于 过 时 信息 做 出 的 
判断 的 可 信 度 大 大 降低 ， 同 时 也 使 得 确认 相关 信息 的 来 源 变 得 非常 困难 。 

(3) 异 构 网 络 环境 所 带 来 的 平台 差异 也 给 集中 式 模 型 带 来 诸多 困难 。 因 为 每 一 种 攻击 
行为 在 不 同 的 操作 环境 中 都 表现 出 不 同类 型 的 模式 特征 ， 而 已 知 的 攻击 方法 数目 非常 多 ， 
因而 在 集中 式 模型 的 系统 中 ， 想 要 与 攻击 模式 完全 匹配 就 已 经 非常 困难 ， 何 况 还 要 应 付 不 
断 出 现 的 新 型 攻击 手段 。 

面 对 诸 多 难题 ， 很 多 新 的 思路 已 经 出 现 ， 其 中 一 种 就 是 攻击 策略 分 析 (Attack Strategy 
Analysis) 方 法 。 它 采用 分 布 式 智能 代理 的 结构 方式 ， 由 几 个 中 央 智 能 代理 和 大 量 分 布 的 本 
地 代理 组 成 ， 其 中 本 地 代理 负责 处 理 本 地 事件 ， 而 中 央 代 理 负责 整体 的 分 析 工 作 。 与 集中 
式 模型 不 同 的 是 ， 攻 击 策略 分 析 强 调 的 是 通过 全 体 智能 代理 协同 工作 来 分 析 入 侵 者 的 攻击 
策略 ， 中 央 代 理 扮演 的 是 协调 者 和 全 局 分 析 员 的 角色 ， 但 绝 不 是 唯一 的 事件 处 理 者 ， 本 地 
代理 有 较 强 的 自主 性 ， 可 以 独立 对 本 地 攻击 进行 有 效 检 测 ， 同 时 也 与 中 央 智 能 代理 和 其 他 
本 地 代理 通信 ， 接 受 中 央 智 能 代理 的 调度 指挥 ， 并 与 其 他 代理 协同 工作 。 这 种 方法 有 明显 
的 优点 ， 但 同时 又 带 来 了 其 他 的 一 些 问 题 ， 如 大 量 代理 的 组 织 和 协作 问题 、 相 互 之 间 的 通 
信 、 处 理 能 力 和 任务 的 分 配 等 。 

下 面 介绍 一 个 典型 的 分 布 式 入 侵 检 测 系统 的 解决 方案 。 

图 7.5 所 示 的 入 侵 检 测 系统 是 一 种 基于 部 件 的 分 布 式 入 侵 检测 系统 。 系 统 中 的 部 件 是 
具有 特定 功能 的 独立 的 应 用 程序 ， 小 型 的 系统 或 者 仅仅 是 一 个 非 独 立 的 应 用 程序 的 功能 模 
块 。 在 部 署 时 ， 这 些 部 件 可 能 在 同一 台 计 算 机 上 ， 也 可 能 各 自分 布 在 一 个 大 型 网 络 的 不 同 
部 位 ， 每 个 部 件 都 能 够 完成 某 一 特定 的 功能 。 各 个 部 件 之 间 通 过 统一 的 网 络 接口 进行 信息 
交换 ， 这 样 既 简 化 了 数据 交换 的 复杂 性 ， 使 得 多 个 部 件 能 够 很 容易 地 分 布 在 不 同 主机 上 ， 
也 给 系统 提供 了 一 个 扩展 接口 。 


控制 台 二 让 响应 系统 《> 数 据 流 
控制 流 
| 
分 析 系统 【下 存储 系统 
人 人 
网 络 引擎 | | 主机 代理 | | 扩展 部 件 


图 7.5 分 布 式 入 侵 检 测 系统 框图 


系统 主要 部 件 有 网 络 引擎 (Network Engine)、 主 机 代理 (Host Agent)、 存 储 系统 (Storage 
System)、 分 析 系 统 (Analyzer)、 响 应 系统 (Response System) 和 控制 台 (Manager Console)。 

(1) 网 络 引擎 和 主机 代理 属于 CIDF 中 的 事件 产生 器 (Event Generators)。 网络 引擎 截获 
网 络 中 的 原始 数据 包 ， 并 从 中 寻找 可 能 的 入 侵 信 息 或 其 他 敏感 信息 。 主 机 代理 从 所 在 主机 
内 收集 信息 ， 包 括 分 析 日 志 、 监 视 用 户 行为 、 分 析 系 统 调 用 及 分 析 该 主机 的 网 络 通信 等 。 
网 络 引擎 和 主机 代理 也 具有 数据 分 析 功 能 ， 对 于 已 知 的 攻击 ， 在 这 些 部 件 中 使 用 模式 匹配 
的 方法 来 检测 ， 可 以 大 大 提高 系统 的 处 理 速度 ， 也 可 以 减少 分 析 部 件 的 工作 量 及 系统 网 络 
传输 的 影响 。 

(2) 存储 系统 用 来 存储 事件 产生 器 捕获 的 原始 数据 、 并 分 析 结果 等 ， 储 存 的 原始 数据 
用 于 对 入 侵 者 进行 法 律 制裁 时 提供 确凿 的 证 据 。 存 储 系统 也 是 不 同 部 件 之 间 数 据 处 理 的 共 
享 数据 库 ， 为 系统 不 同 部 件 提供 各 自 感 兴趣 的 数据 。 因 此 ， 存 储 系统 应 该 提供 灵活 的 数据 
维护 、 处 理 和 查询 服务 ， 同 时 也 必须 是 一 个 安全 的 日 志 系统 。 

(3) 分 析 系 统 能 够 对 事件 发 生 器 捕获 的 原始 信息 ， 其 他 入 侵 检测 系统 提供 的 可 疑 信 息 
进行 统一 分 析 和 处 理 。 分 析 系 统 采用 高 层次 的 分 析 方法 ， 如 基于 统计 的 分 析 方法 、 基 于 神 
经 网 络 的 分 析 方 法 等 ， 负 责 分 布 式 攻击 检测 。 

(4) 分 析 系统 是 整个 入 侵 检测 系统 的 大 脑 ， 分 析 方 法 则 是 该 系统 的 思维 能 力 。 各 种 分 
析 方 法 都 有 各 自 的 优势 和 不 足 ， 因 此 ， 系 统 中 分 析 方 法 应 该 是 可 以 动态 更 换 的 ， 并 且 多 种 
算法 可 以 并 存 。 

(5) 响应 系统 用 于 对 确认 的 入 侵 行为 采取 相应 措施 。 响 应 包括 消极 的 措施 ， 如 给 管理 
员 发 E-mail、 消 息 、 传 呼 等 ， 也 可 以 采取 保护 性 措施 ， 如 切断 入 侵 者 的 TCP 连接 、 修 改 路 
由 器 的 访问 控制 策略 等 ， 还 可 以 采取 主动 的 反击 策略 ， 如 对 攻击 者 进行 DDoS 攻击 等 ， 但 
这 种 以 毒 攻 毒 的 方法 在 法 律 上 是 不 许可 的 。 

(6) 控制 台 是 整个 入 侵 检测 系统 和 用 户 交 互 的 界面 。 用 户 可 以 提供 控制 台 配 置 系统 中 
的 各 个 部 件 ， 也 可 以 通过 控制 台 了 解 各 部 件 的 运行 情况 。 


7.5 入侵 检 测 系统 与 协同 


由 入 侵 检测 系统 的 基本 构成 可 以 看 出 ， 典 型 的 入 侵 检 测 系统 模型 包括 以 下 3 个 功能 
部 件 。 
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中 ”提供 事件 记录 流 的 信息 源 。 

@ 发现 入 侵 迹 象 的 分 析 引 擎 。 

@ ”基于 分 析 引 擎 的 分 析 结 果 产 生 反 应 的 响应 部 件 。 

目前 的 入 侵 检 测 系统 是 网 络 安全 整体 解决 方案 的 一 个 重要 组 成 部 分 ， 需 要 与 其 他 安全 
设备 之 间 协 同 工 作 ， 共 同 解决 网 络 安全 问题 ， 这 就 对 引入 协同 提出 了 要 求 。 


7.5.1 数据 采集 协同 

入 侵 检测 需要 采集 动态 数据 (网 络 数据 包 ) 和 静态 数据 (日 志文 件 等 )。 基 于 网 络 的 入 侵 检 
测 系统 ， 仅 在 网 络 层 通过 原始 的 瑟 包 进行 监测 ， 已 不 能 满足 日 益 增长 的 安全 需求 ; 基于 主 
机 的 入 侵 检测 系统 ， 通 过 直接 查看 用 户 行为 和 操作 系统 日 志 数 据 来 寻找 入 侵 者 ， 却 很 难 发 
现 来 自 底层 的 网 络 攻击 。 

目前 的 入 侵 检测 系统 将 网 络 数据 包 的 采集 、 日 志文 件 的 采集 与 信息 分 析 割 裂 开 来 ， 即 
使 是 综合 基于 网 络 和 基于 主机 的 入 侵 检测 系统 也 不 例外 ， 没 有 在 这 两 类 原始 数据 的 相关 性 
上 加 以 考虑 。 此 外 ， 在 采集 网 络 数据 包 时 ， 入 侵 检测 系统 一 直 是 通过 嗅 探 等 被 动 方式 来 获 
取 数 据 ， 一 旦 某 个 数据 包 丢 失 就 无 法 挽回 。 而 且 ， 未 来 的 网 络 是 全 交换 的 网 络 ， 网 络 速度 
越 来 越 快 ， 许 多 重要 的 网 络 还 是 加 密 的 。 在 这 种 情况 下 ， 对 动态 网 络 数据 包 的 采集 就 更 加 
困难 。 因 此 ， 在 数据 采集 上 进行 协同 并 充分 利用 各 层次 的 数据 ， 是 提高 入 侵 检测 能 力 的 首 
要 条 件 。 

数据 采集 协同 包含 以 下 几 个 方面 的 内 容 。 

(1) 入 侵 检测 系统 与 漏洞 扫描 系统 的 协同 。 漏 洞 扫 描 系 统 的 特点 是 利用 完整 的 漏洞 
库 ， 对 网 络 中 的 各 个 主机 进行 扫描 ， 对 主机 所 存在 的 网 络 、 操 作 系统 和 运行 等 方面 存在 的 
漏洞 给 出 综合 报告 ， 然 后 提出 漏洞 的 修补 办 法 和 风险 评估 报告 。 

(2) 入 侵 检测 系统 与 扫描 系统 的 协同 。 一 方面 是 可 以 利用 扫描 系统 的 扫描 结果 ， 对 目 
前 网 络 或 系统 所 存在 的 漏洞 做 到 心中 有 数 ， 并 对 预警 策略 进行 修改 ， 从 而 尽 可 能 地 减少 误 
报 ， 并 对 隐 含 在 正常 行为 中 的 攻击 行为 做 出 报警 。 另 一 方面 ， 入 侵 检 测 系统 能 够 对 目前 正 
在 遭受 攻击 的 漏洞 进行 及 时 防范 。 此 外 ， 漏 洞 扫描 系统 也 可 以 利用 入 侵 检测 系统 的 报警 信 
息 ， 扫 描 主机 的 特定 漏洞 ， 查 看 正在 受 攻击 的 漏洞 是 否 真实 存在 ， 如 果真 实 存在 ， 做 出 必 
须 及 时 封 堵 的 报告 。 

(3) 入 侵 检测 系统 与 防 病毒 系统 的 协同 。 面 对 来 自 网 络 的 病毒 攻击 ， 入 侵 检测 系统 可 
能 根据 某 些 特征 做 出 警告 ， 但 由 于 入 侵 检测 系统 本 身 并 不 是 防 病毒 系统 ， 对 网 络 中 的 主机 
是 否 真 的 正在 遭受 计算 机 病毒 的 袭击 不 能 准确 地 预报 ， 这 时 防 病 毒 系统 就 有 了 用 武之 地 ， 
可 以 有 针对 性 地 对 入 侵 检测 系统 的 病毒 报警 信息 进行 验证 ， 对 遭受 病毒 攻击 的 主机 系统 进 
行 适 当 的 处 理 。 


7.5.2 数据 分 析 协 同 


入 侵 检测 不 仅 需要 利用 模式 匹配 和 异常 监测 技术 来 分 析 某 个 监测 引擎 所 采集 的 数据 ， 
还 要 在 此 基础 上 利用 数据 挖掘 技术 ， 分 析 多 个 监测 引擎 提交 的 审计 数据 以 发 现 更 为 复杂 的 
入 侵 行 为 。 


从 理论 上 讲 ， 任 何 网 络 入 侵 行为 都 能 够 被 发 现 ， 因 为 网 络 流量 和 主机 日 志 记 录 了 入 侵 
的 活动 。 数 据 分 析 协 同 需要 在 两 个 层面 上 进行 : 一 是 对 一 个 监测 引擎 采集 的 数据 进行 协同 
分 析 ， 综 合 使 用 监测 技术 ， 以 发 现 较为 常见 的 、 典 型 的 攻击 行为 ; 二 是 对 来 自 多 个 监测 引 
擎 的 审计 数据 ， 利 用 数据 挖掘 技术 进行 分 析 ， 以 发 现 较为 复杂 的 攻击 行为 。 考 核 入 侵 检测 
系统 数据 分 析 能 力 可 以 从 准确 性 、 效 率 和 可 用 性 3 个 方面 进行 。 基 于 这 一 点 ， 可 以 认为 监 
测 引擎 是 完成 第 一 种 数据 分 析 协 同 的 最 佳 地 点 ， 中 心 管理 控制 平台 则 是 完成 第 二 种 数据 分 
析 协 同 的 最 佳 地 点 。 

当 监 测 引擎 面 对 并 非 单一 的 数据 时 ， 综 合 使 用 各 种 监测 技术 就 显得 十 分 重要 。 从 攻击 
的 特征 来 看 ， 有 的 攻击 方法 使 用 异常 监测 来 监测 会 很 容易 ， 而 有 的 攻击 方法 使 用 模式 匹配 
来 监测 则 很 简单 。 因 此 ， 对 监测 引擎 的 设计 者 来 说 ， 首 先 需 要 确定 监测 策略 ， 明 确 哪些 攻 
击 行为 属于 异常 监测 的 范畴 ， 哪 些 攻击 属于 模式 匹配 的 范畴 。 中 心 管理 控制 平台 执行 的 是 
更 为 高 级 的 、 复 杂 的 入 侵 检测 ， 它 面 对 的 是 来 自 多 个 监测 引擎 的 审计 数据 ， 并 可 就 各 个 区 
域内 的 网 络 活动 情况 进行 “相关 性 ”分 析 ， 其 结果 为 下 一 时 间 段 及 监测 引擎 的 监测 活动 提 
供 支持 。 例 如 ， 黑 客 在 正式 攻击 网 络 之 前 ， 往 往 利用 各 种 探测 器 分 析 网 络 中 最 脆弱 的 主机 
及 主机 上 最 容易 被 攻击 的 漏洞 ， 在 正式 攻击 时 ， 因 为 黑客 的 “攻击 准备 ”活动 早已 被 系统 
记录 ， 所 以 入 侵 检测 系统 就 能 及 时 地 对 此 攻击 活动 做 出 判断 。 

传统 的 数据 挖掘 技术 的 监测 模型 是 离线 产生 的 ， 这 是 因为 传统 数据 挖掘 技术 的 学 习 算 
法 必须 要 处 理 大 量 的 审计 数据 ， 十 分 耗 时 。 但 是 ， 有 效 的 入 侵 检测 系统 必须 是 实时 的 ， 而 
且 基 于 数据 挖掘 的 入 侵 检 测 系统 仅仅 在 监测 率 方面 高 于 传统 方法 的 监测 率 是 不 够 的 ， 只 有 
误 报 率 也 在 一 个 可 接受 的 范围 内 时 才 是 可 用 的 。 

美国 哥伦比亚 大 学 提出 了 一 种 基于 数据 挖掘 的 实时 入 侵 检测 技术 ， 证 明了 数据 挖掘 技 
术 能 够 用 于 实时 的 入 侵 检测 系统 。 基 本 框架 是 ， 首 先 从 审计 数据 中 提取 特征 ， 以 帮助 区 分 
正常 数据 和 攻击 行为 ， 然 后 将 这 些 特征 用 于 模式 匹配 或 异常 监测 模型 ， 接 着 描述 一 种 人 工 
异常 产生 方法 ， 来 降低 异常 监测 算法 的 误 报 率 ， 最 后 提供 一 种 结合 模式 匹配 和 异常 监测 模 
型 的 方法 。 实 验 表明 ， 上 述 方法 能 够 提高 系统 的 监测 率 ， 而 不 会 降低 任何 一 种 监测 模型 的 
性 能 。 在 此 技术 基础 上 ， 实 现 数据 挖掘 的 实时 入 侵 检测 系统 是 由 引擎 、 监 测 器 、 数 据 仓库 
和 自 适 应 模型 产生 4 部 分 构成 ， 如 图 7.6 所 示 。 


7.6 ”基于 数据 挖掘 的 入 侵 检 测 系统 体系 结构 
在 图 7.6 中 ， 引 擎 观察 原始 数据 并 计算 用 于 模型 评估 的 特征 ; 监测 器 获取 引擎 的 数据 


并 利用 监测 模型 来 评估 其 是 否 是 一 个 攻击 ; 数据 仓库 被 用 作 数 据 和 模型 的 中 心 存储 地 ; 自 
适应 模型 产生 的 主要 目的 是 为 了 加 快 开发 及 分 发 新 的 入 侵 检测 模型 的 速度 。 
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7.5.3 ”响应 协同 


响应 协同 就 是 入 侵 检测 系统 与 有 充分 响应 能 力 的 网 络 设备 或 网 络 安全 设备 集成 在 一 
起 ， 构 成 响应 和 预警 互补 的 综合 安全 系统 。 

响应 协同 主要 包含 以 下 几 个 方面 。 

1. 入 侵 检测 系统 与 防火 墙 的 协同 


防火 墙 与 入 侵 检测 系统 可 以 互补 体现 在 静态 和 动态 两 个 层面 上 。 静 态 协同 是 指 入侵 检 
测 系统 可 以 通过 了 解 防火 墙 的 策略 ， 对 网 络 安全 事件 进行 有 效 的 分 析 ， 从 而 准确 地 报警 ， 
减少 误 报 ; 动态 协同 是 指 当 入 侵 检 测 系统 发 现 攻击 行为 时 ， 可 以 通知 防火 墙 阻 断 已 经 建立 
的 连接 ， 同 时 通知 防火 墙 修改 策略 ， 防 止 潜在 的 进一步 攻击 的 可 能 性 。 


2. 入 侵 检测 系统 与 路 由 器 、 交 换 机 的 协同 


交换 机 和 路 由 器 一 般 串 接 在 网 络 上 ， 都 有 预定 的 策略 ， 可 以 决定 网 络 上 的 数据 流 ， 所 
以 入 侵 检测 系统 与 交换 机 、 路 由 器 的 协同 也 有 动态 和 静态 两 个 方面 ， 过 程 也 大 致 相同 ， 这 
里 不 再 详 述 。 

3. 入 侵 检测 系统 与 防 病毒 系统 的 协同 


对 防 病毒 系统 来 讲 ， 查 毒 和 杀毒 缺 一 不 可 ， 在 查 毒 层面 有 数据 采集 协同 ， 在 杀毒 层面 
有 响应 协同 。 入 侵 检测 系统 可 以 通过 发 送 大 量 RST 报 文 阻 断 已 经 建立 的 连接 ,但 在 防止 计 
算 机 遭受 病毒 袭击 的 方面 无 能 为 力 。 目 前 由 于 网 络 病毒 攻击 所 占 比例 不 断 增加 ， 入 侵 检测 
系统 与 防 病毒 系统 的 协同 也 变 得 越 来 越 重 要 。 


4. 入 侵 检 测 系统 与 寅 钠 和 填充 单元 系统 协同 


蜜 钢 是 试图 将 攻击 者 从 关键 系统 引诱 开 的 诱骗 系统 。 这 些 系 统 充 满 了 看 起 来 很 有 用 的 
信息 ,但 是 这 些 信 息 实际 上 是 捏造 的 ， 合 法 用 户 是 访问 不 到 的 。 因 此 ， 当 监测 到 对 “ 蜜 钠 ” 
的 访问 时 ， 很 可 能 就 有 攻击 者 净 入 。“ 蜜 缸 ” 上 的 监控 器 和 事件 日 志 器 监测 这 些 未 经 授权 
的 访问 ， 并 收集 攻击 者 活动 的 相关 信息 。 

利用 “ 蜜 钠 ”的 这 种 能 力 ， 一 方面 可 以 为 入 侵 检 测 系 统 提 供 附加 数据 ， 另 一 方面 当 入 
侵 检测 系统 发 现 有 攻击 者 时 ， 可 以 把 攻击 者 引入 “ 蜜 缸 ”， 防 止 攻击 者 造成 危害 ， 并 收集 
攻击 者 的 信息 。 

“填充 单元 ”采取 另 一 种 不 同 的 方法 。“ 填 充 单元 ”不 是 试图 用 引诱 性 的 数据 吸引 攻 
击 者 ， 而 是 等 待 传统 的 入 侵 检测 系统 来 监测 攻击 者 ， 攻 击 者 被 传递 到 一 个 特定 的 填充 单元 
主机 ， 并 处 于 一 个 模拟 环境 中 ， 因 此 不 会 造成 任何 伤害 。 与 “ 蜜 缸 ”相似 ， 这 种 模拟 环境 
会 充满 使 人 感 兴趣 的 数据 ， 从 而 会 使 攻击 者 相信 攻击 正 按 计 划 进 行 。“ 填 充 单元 ”为 监测 
攻击 者 的 行为 提供 了 独特 的 机 会 。 

图 7.7 即 为 上 述 整个 安全 系统 的 示意 图 。 

图 7.7 无 法 表示 所 有 的 数据 流 ， 只 是 形象 地 说 明 安全 单元 是 一 个 网 络 安全 整体 。 说 明 
了 入 侵 检测 系统 需要 协同 ， 同 时 其 他 所 有 的 安全 工具 也 需要 协同 ， 协 同 工 作 的 目的 是 保障 
信息 系统 的 安全 。 可 以 把 所 有 这 些 协 同 工 作 的 工具 或 者 设备 整体 看 作 一 个 安全 工具 ， 它 可 


以 保证 信息 有 相对 的 安全 性 。 


图 7.7 网 络 安全 系统 示意 图 


7.6 入侵 检测 分 析 


入 侵 检测 技术 是 一 种 当今 非常 重要 的 动态 安全 技术 ， 如 果 与 传统 的 静态 安全 技术 共同 
使 用 ， 可 以 大 大 提高 系统 的 安全 防护 水 平 。 

一 个 安全 系统 至 少 应 该 满足 用 户 系 统 的 保密 性 、 完 整 性 及 可 用 性 要 求 。 但 是 ， 随 着 网 
络 连接 的 迅速 扩展 ， 特 别 是 互联 网 大 范围 的 开放 以 及 金融 领域 网 络 的 接 入 ， 使 越 来 越 多 的 
系统 遭受 到 入 侵 攻击 的 威胁 。 这 些 威胁 大 多 是 通过 挖掘 操作 系统 和 应 用 服务 程序 的 弱点 或 
者 缺陷 来 实现 的 。 

对 付 破 坏 系统 企图 的 理想 方法 是 建立 一 个 完全 安全 的 系统 。 这 不 仅 要 求 所 有 的 用 户 能 
识别 和 认证 自己 ， 而 且 还 要 求 用 户 采 用 各 种 各 样 的 加 密 技术 和 强制 访问 控制 策略 来 保护 数 
据 。 实 际 上 这 一 点 是 很 难 做 到 的 。 

(1) 要 将 所 有 已 安装 的 带 安 全 缺陷 的 系统 转换 成 安全 系统 是 不 现实 的 ， 即 使 真正 付 诸 
实践 ， 也 需要 相当 长 的 时 间 。 

(2) 加 密 技术 本 身 存 在 一 定 的 问题 。 比 如 密 钥 的 生成 、 传 输 、 分 配 和 保存 以 及 加 密 算 
法 的 安全 性 。 

(3) 访问 控制 和 保护 模型 本 身 存在 一 定 的 问题 。 

(4) 静态 的 安全 控制 措施 不 足以 保护 安全 对 象 属性 。 通 常 ， 安 全 访问 控制 等 级 和 用 户 
的 使 用 效率 成 反比 。 在 一 个 系统 中 ， 担 保安 全 特性 的 静态 方法 可 能 会 过 于 简单 、 不 充分 ， 
或 者 是 系统 过 度 地 限制 用 户 。 例 如 ， 静 态 安全 措施 未 必 能 阻止 违背 安全 策略 造成 的 对 数据 
文件 的 浏览 ， 强 制 访问 控制 仅 允许 用 户 访问 具有 合适 通道 的 数据 ， 造 成 系统 使 用 的 不 便 。 
因此 ， 动 态 的 安全 措施 (如 行为 跟踪 ) 对 检测 和 尽 可 能 地 阻止 入 侵 是 必要 的 。 

(5) 安全 系统 易 受 内 部 用 户 滥用 特权 的 攻击 。 一 些 安全 技术 (如 防火 墙 ) 能 够 防止 一 些 
外 部 攻击 ， 但 对 来 自 内 部 的 攻击 就 无 能 为 力 。 
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(6) 在 实践 中 ， 建 立 完全 安全 的 系统 是 不 可 能 的 。 现 今 的 操作 系统 和 应 用 程序 中 不 可 
能 没有 缺陷 。 在 软件 工程 中 存在 着 软件 测试 不 充足 、 软 件 生命 周期 缩短 等 问题 。 

由 于 市 场 竞 争 激烈 ， 软 件 生命 周期 正 不 断 地 被 缩短 ， 这 样 常常 导致 软件 设计 或 测试 不 
充分 。 并 且 有 些 软件 的 规模 越 来 越 大 ， 复 杂 度 越 来 越 高 ， 运 行 中 用 户 的 操作 行为 、 软 件 安 
装 平台 、 软 件 与 软件 之 间 交 互 的 不 可 控 性 都 可 能 带 来 问题 。 虽 然 ， 软 件 商 经 常会 针对 某 些 
具体 缺陷 发 布 一 些 修补 软件 ， 但 系统 的 安全 状态 只 持续 一 段 时 间 。 此 外 ， 设 计 和 实现 一 个 
整体 安全 系统 也 相当 困难 。 

基于 上 述 几 类 问题 的 解决 难度 ， 实 用 的 方法 是 建立 比较 容易 实现 的 安全 系统 ， 同 时 按 
照 一 定 的 安全 策略 建立 相应 的 安全 辅助 系统 。 入 侵 检 测 系 统 就 是 这 样 一 类 系统 。 安 全 软件 
的 开发 方式 基本 上 就 是 按照 这 个 思路 进行 的 。 就 目前 系统 安全 状况 而 言 ， 系 统 存在 被 攻击 
的 可 能 性 。 如 果 系 统 遭 到 攻击 ， 只 要 尽 可 能 地 检测 到 ， 甚 至 是 实时 地 检测 到 ， 然 后 采取 适 
当 的 处 理 措 施 ， 就 可 以 避免 造成 更 大 的 损失 。 

过 去 , 防范 网 络 攻击 最 常用 的 方法 是 使 用 防火 墙 。 为 了 更 好 地 说 明 入 侵 检测 的 必要 性 ， 
下 面 对 入 侵 检测 与 防火 墙 做 一 个 比较 。 

“防火 墙 ” 是 在 被 保护 网 络 周边 建立 的 、 分 隔 被 保护 网 络 与 外 部 网 络 的 系统 。 防 火 墙 
技术 是 通过 对 网 络 作 拓扑 结构 和 服务 类 型 上 的 隔离 来 加 强 网 络 安全 的 一 种 手段 。 他 的 保护 
对 象 是 网 络 中 有 明确 闭合 边界 的 网 块 ， 防 范 对 象 则 是 来 自 被 保护 网 块 外 部 的 对 网 络 安全 的 
威胁 。 防 火 墙 通过 在 网 络 边界 上 建立 相应 的 网 络 通信 监控 系统 ， 拒 绝 非法 的 连接 请 求 ， 从 
而 达到 保护 网 络 安全 的 目的 。 

采用 防火 墙 技术 的 前 提 条 件 如 下 。 

(1) 被 保护 的 网 络 具有 明确 定义 的 边界 和 服务 。 

(2) 网 络 安全 的 威胁 仅 来 自 外 部 网 络 。 

通过 监测 、 限 制 或 更 改 穿 过 防火 墙 的 数据 流 ， 尽 可 能 地 对 外 部 网 络 屏蔽 有 关 被 保护 网 
络 的 信息 和 结构 ， 可 实现 对 网 络 的 安全 保护 ， 降 低 网 络 安全 的 风险 。 但 仅仅 使 用 防火 墙 保 
障 网 络 安全 是 远 远 不 够 的 。 首 先 ， 防 火 墙 本 身 会 有 各 种 漏洞 和 后 门 ， 有 可 能 被 外 部 黑客 攻 
破 ; 其 次 ， 防 火 墙 不 能 阻止 内 部 攻击 ， 对 内 部 入 侵 者 来 说 防火 墙 毫 无 作用 ;， 另外， 有些 外 
部 访问 可 以 绕 开 防火 墙 ， 如 内 部 用 户 通过 调制 解 调 器 拨号 接 入 Intemet， 从 而 开辟 了 一 个 不 
安全 的 通路 ， 而 这 一 连接 并 没有 通过 防火 墙 ， 防 火 墙 对 此 没有 任何 监控 能 力 。 

因此 ， 仅 仅 依 赖 防火 墙 系统 并 不 能 保证 足够 的 安全 。 入 侵 检测 是 防火 墙 的 合理 补充 ， 
为 网 络 安全 提供 实时 的 入 侵 检测 并 采取 相应 的 防护 手段 ， 如 记录 证 据 用 于 跟踪 入 侵 者 和 灾 
难 恢复 、 发 出 警报 甚至 终止 进程 、 断 开 网 络 连接 等 。 它 从 计算 机 网 络 系统 中 的 若干 关键 点 
收集 信息 ， 并 分 析 这 些 信息 ， 检 查 网 络 中 是 否 有 违反 安全 策略 的 行为 和 遭 到 袭击 的 迹象 。 
入 侵 检测 被 认为 是 防火 墙 之 后 的 第 二 道 安全 闸门 ， 在 不 影响 网 络 性 能 的 情况 下 ， 能 对 网 络 
进行 监测 ， 从 而 提供 对 内 部 攻击 、 外 部 攻击 和 误 操 作 的 实时 保护 。 

入 侵 检测 系统 一 般 不 是 采取 预防 的 措施 以 防止 入 侵 事 件 的 发 生 ， 入 侵 检测 作为 安全 技 
术 其 主要 目的 如 下 。 

(1) 识别 入 侵 者 。 

(2) 识别 入 侵 行 为 。 

(3) 检测 和 监视 已 成 功 的 安全 突破 。 


(4) 为 对 抗 入 侵 ， 及 时 提供 重要 信息 ， 阻 止 事件 的 发 生 和 事态 的 扩大 。 

可 见 ， 入 侵 检测 对 于 建立 一 个 安全 系统 来 说 是 非常 必要 的 ， 它 可 弥补 传统 安全 保护 措 
施 的 不 足 。 

作为 一 类 目前 备 受 关注 的 网 络 安全 技术 ， 入 侵 检测 技术 也 有 很 多 不 足 。 

(1) 入 侵 检测 系统 本 身 还 在 迅速 发 展 和 变化 ， 尚 未 成 熟 。 目 前 ， 绝 大 多 数 的 商业 入 侵 
检测 系统 的 工作 原理 和 病毒 检测 相似 ， 其 自身 带 有 一 定 规模 和 数量 的 入 侵 特征 模式 库 ， 可 
以 定期 更 新 。 这 种 方式 有 很 多 弱点 : 不 灵活 ， 仅 对 已 知 的 攻击 手段 有 效 ， 特 征 模式 库 的 提 
取 和 更 新 依赖 于 手工 方式 ， 维 护 不 易 ， 具 有 自 适 应 能 力 、 能 自我 学 习 的 入 侵 检测 系统 还 尚 


| 未 成 熟 ， 检 测 技术 在 理论 上 还 有 待 突破 。 所 以 入 侵 检测 系统 领域 当前 正 处 于 不 断 发 展 成 长 


时 期 。 

(2) 现 有 的 入 侵 检测 系统 错 报 率 (或 称 为 虚 警 率 ) 偏 高 ， 严 重 干扰 了 检测 结果 。 如 果 入 
侵 检测 系统 对 原本 不 是 攻击 的 事件 产生 了 错误 的 警报 ， 则 假 的 警报 一 般 称 为 虚 警 (False 
Positive)。 通 常 这 些 错 报 会 干扰 管理 员 的 注意 力 ， 产 生 两 种 后 果 : 

@ 忽略 警报 ， 但 这 样 做 的 结果 和 安装 入 侵 检测 系统 的 初衷 相 背 ; 

@ 重新 调整 临界 阔 值 ， 使 系统 对 虚报 的 事件 不 再 敏感 ， 但 这 样 做 之 后 ， 一 旦 有 真 的 
相关 攻击 事件 发 生 ， 入 侵 检测 系统 将 不 再 报警 ， 这 同样 损失 了 入 侵 检 测 系统 的 功效 。 

(3) 事件 响应 与 恢复 机 制 不 完善 。 这 一 部 分 对 入 侵 检 测 系统 非常 重要 ， 但 目前 几乎 都 
被 忽略 并 且 没有 一 个 完善 的 响应 恢复 体系 ， 远 不 能 满足 人 们 的 期 望 和 要 求 。 

(4) 入 侵 检测 系统 与 其 他 安全 技术 的 协作 性 不 够 。 如 今 ， 网 络 系统 中 往往 采用 很 多 其 
他 的 安全 技术 ， 如 防火 墙 、 身 份 认证 系统 、 网 络 管理 系统 等 。 如 果 它 们 之 间 能 够 相互 沟通 、 
相互 配合 ， 对 入 侵 检 测 系统 进一步 增强 自身 的 检测 和 适应 能 力 是 有 帮助 的 。 

(5) 入 侵 检 测 系统 缺少 对 检测 结果 做 进一步 说 明和 分 析 的 辅助 工具 ， 这 妨碍 了 用 户 进 
一 步 理解 看 到 的 数据 或 图 表 。 

(6) 入 侵 检 测 系统 缺乏 国际 统一 的 标准 。 

Q@ 没有 关于 描述 入 侵 过 程 和 提取 攻击 模式 的 统一 规范 。 

@ ”没有 关于 检测 和 响应 模型 的 统一 描述 语言 。 

@ 检测 引擎 的 定制 处 理 没有 标准 化 。 


7.7 入侵 检 测 的 发 展 


7.7.1 入 侵 检测 标准 


入 侵 检测 技术 的 标准 化 是 提高 入 侵 检测 产品 功能 和 加 强 技术 合作 的 重要 手段 ， 到 目前 
为 止 ， 还 没有 一 个 被 广泛 接受 的 入 侵 检测 相关 国际 标准 。 美 国 国防 部 高 级 研究 计划 署 
(DARPA) 和 互联 网 工程 任务 组 IETF) 的 入 侵 检测 工作 组 IDWG) 在 这 方面 做 了 很 多 工作 ， 我 
国 的 有 关 网 络 安全 产品 检测 部 门 也 做 了 很 多 卓有成效 的 工作 ， 给 出 了 主机 入 侵 检 测 产 品 和 
网 络 入 侵 检 测 产 品 的 规范 。 

IDWG 提出 的 建议 草案 包括 3 部 分 内 容 ， 即 入 侵 检测 消息 交换 格式 IDMEF)、 入 侵 检 
测 交换 协议 IDXP) 和 隧道 轮廓 (Tunnel Profile)。 
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(1) IDMEF 描述 了 入 侵 检 测 系统 输出 信息 的 数据 模型 , 并 解释 了 使 用 此 模型 的 基本 原 
理 。 该 数据 模型 用 XML 实现 ， 并 设计 了 一 个 XML 文档 类 型 定义 。 自 动 入 侵 检 测 系 统 可 以 
使 用 IDMEF 提供 的 标准 数据 格式 对 可 疑 事 件 发 出 警报 , 提高 商业 、 开 放 资 源 和 研究 系统 之 
间 的 互 操 作 性 , IDMEF 最 适用 于 入 侵 检测 分 析 器 (或 称 为 “探测 器 ”7 和 接收 警报 的 管理 器 (或 
称 为 “控制 台 ”) 之 间 的 数据 信道 。 

(2) IDXP 是 一 个 用 于 入 侵 检 测 实 体 之 间 交 换 数 据 的 应 用 层 协 议 ， 能 够 实现 IDMEF 消 
息 、 非 结构 文本 和 二 进 制 数据 之 间 的 交换 ， 并 提供 面向 连接 协议 之 上 的 双方 认证 、 完 整 性 
和 保密 性 等 安全 特征 。 IDXP 是 BEEP 的 一 部 分 ,后 者 是 一 个 用 于 面向 连接 的 异步 交互 通用 
应 用 协议 ，IDXP 的 许多 特色 功能 (如 认证 、 保 密 性 等 ) 都 是 由 BEEP 框架 提供 的 。 


7.7.2 入侵 检 测评 测 

以 下 从 对 入 侵 检测 评估 的 作用 、 测 试 评估 入 侵 检测 系统 的 标准 和 测试 评估 现状 等 几 个 
方面 对 入 侵 检测 评估 进行 介绍 。 

1. 对 入 侵 检测 系统 进行 测试 和 评估 的 作用 


(1) 有 助 于 更 好 地 描述 入 侵 检 测 系统 的 特征 。 通 过 测试 评估 ， 可 以 更 好 地 认识 、 理 解 
入 侵 检测 系统 的 处 理 方法 、 所 需 资源 及 环境 ， 建 立 比较 入 侵 检 测 系统 的 基准 ， 领 会 各 检测 
方法 之 间 的 关系 。 

(2) 对 入 侵 检测 系统 的 各 项 性 能 进行 评估 ， 确 定 入 侵 检测 系统 的 性 能 级 别 及 其 对 运行 
环境 的 影响 。 

(3) 利用 测试 和 评估 结果 ， 可 作出 一 些 预测 ， 推 断 入 侵 检测 系统 发 展 的 趋势 ， 评 估 风 
险 ， 制 定 可 实现 的 入 侵 检测 系统 质量 目标 (如 可 靠 性 、 可 用 性 、 速 度 、 精 确 度 等 )、 人 花费 及 
开发 进度 。 

(4) 根据 测试 和 评估 的 结果 ， 对 入 侵 检测 系统 进行 改善 ， 即 发 现 系统 中 存在 的 问题 并 
进行 改进 ， 从 而 提高 系统 的 各 项 性 能 指标 。 


2. 测试 评估 入 侵 检测 系统 性 能 的 标准 


(1) 准确 性 。 准 确 性 (Accuracy) 指 入 侵 检测 系统 从 各 种 行为 中 正确 地 识别 入 侵 的 能 力 ， 
当 一 个 入 侵 检测 系统 的 检测 不 准确 时 ， 就 有 可 能 把 系统 中 的 合法 活动 当 作 入 侵 行为 ， 并 标 
识 为 异常 ( 虚 警 现象 )。 

(2) 处 理性 能 。 处 理性 能 (Performance) 指 一 个 入 侵 检测 系统 处 理 源 数 据 的 速度 。 当 入 
侵 检测 系统 的 处 理性 能 较 差 时 ， 就 不 可 能 实现 实时 的 入 侵 检测 系统 ， 反 而 可 能 成 为 整个 系 
统 的 瓶颈 ， 进 而 严重 影响 整个 系统 的 性 能 。 

(3) 完备 性 。 完 备 性 (Completeness) 指 入 侵 检测 系统 能 够 检测 出 所 有 攻击 行为 的 能 
如 果 有 一 个 攻击 行为 ， 无 法 被 入 侵 检测 系统 检测 出 来 ， 那 么 该 入 侵 检 测 系统 就 不 具有 检测 
完备 性 ， 也 就 是 说 ， 它 把 对 系统 的 入 侵 活动 当 作 正常 行为 ( 漏 报 现象 )。 由 于 攻击 类 型 、 攻 
击 手段 变化 很 快 ， 很 难得 到 关于 攻击 行为 的 所 有 知识 ， 所 以 关于 入 侵 检测 系统 的 检测 完备 
性 的 评估 相对 比较 困难 。 

(4) 容错 性 。 由 于 入 侵 检测 系统 是 检测 入 侵 的 重要 手段 ， 所 以 它 成 为 很 多 入 侵 者 攻击 
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的 首选 目标 。 入 侵 检 测 系统 自身 必须 能 够 抵御 对 他 自身 的 攻击 ， 特 别 是 拒绝 服务 
(Denial-of-Service) 攻 击 。 由 于 大 多 数 的 入 侵 检 测 系统 是 运行 在 极 易 遭受 攻击 的 操作 系统 和 
硬件 平台 上 ， 这 就 使 得 系统 的 容错 性 (Fault Tolerance) 变 得 特别 重要 ， 在 测试 评估 入 侵 检 测 
系统 时 必须 考虑 到 这 一 点 。 

(5) 及 时 性 。 及 时 性 (Timeliness) 要 求 入 侵 检测 系统 必须 尽快 地 分 析 数 据 ， 并 把 分 析 结 
果 传播 出 去 ， 以 使 系统 安全 管理 者 能 够 在 入 侵 攻 击 尚未 造成 更 大 危害 以 前 做 出 反应 ， 阻 止 
入 侵 者 进一步 的 破坏 活动 。 与 处 理性 能 因素 相 比 ， 及 时 性 的 要 求 更 高 ， 它 不 仅 要 求 入 侵 检 
测 系统 的 处 理 速 度 要 尽 可 能 快 ， 而 且 要 求 传播 、 反 映 检测 结果 信息 的 时 间 尽 可 能 短 。 

美国 加 州 大 学 的 Nicholas J.Puketza 等 人 把 测试 分 为 3 类 ， 分 别 与 前 面 的 性 能 指标 相对 
应 ， 即 入 侵 识别 测试 (入 侵 检 测 系 统 有 效 性 测试 )、 资 源 消耗 测试 (Resource Usage Tests) 及 强 
度 测 试 。 入 侵 识 别 测试 测量 入 侵 检 测 系统 区 分 正常 行为 和 入 侵 行为 的 能 力 ， 主 要 指标 是 检 
测 率 和 虚 警 率 ， 资 源 消耗 测试 测量 入 侵 检 测 系统 占用 系统 资源 的 状况 ， 考 虑 的 主要 因素 是 
硬盘 占用 空间 、 内 存 消 耗 等 ， 强 度 测试 主要 检测 入 侵 检 测 系 统 在 强 负荷 运行 状况 下 检测 效 
果 是 否 受 到 影响 ， 主 要 包括 大 负载 、 高 密度 数据 流量 情况 下 对 检测 效果 的 检测 。 


3. 入 侵 检 测 系统 测试 评估 现状 及 存在 的 问题 


虽然 入 侵 检测 系统 及 其 相关 技术 已 获得 了 很 大 的 进展 ， 但 关于 入 侵 检测 系统 的 性 能 检 
测 及 其 相关 评测 工具 、 标 准 以 及 测试 环境 等 方面 的 研究 工作 还 很 缺乏 。 

在 测试 评估 过 程 中 ， 采 用 模拟 的 方法 来 生成 测试 数据 ， 而 模拟 入 侵 者 实施 攻击 面临 的 困 
难 是 只 能 掌握 已 公布 的 攻击 ， 而 对 于 新 的 攻击 方法 就 无 法 得 知 。 这 样 的 后 果 是 ， 即 使 测试 没 
有 发 现 入 侵 检测 系统 的 潜在 弱点 ， 也 不 能 说 明 入 侵 检测 系统 是 一 个 完备 的 系统 。 不 过 ， 可 以 
通过 分 类 选取 测试 例子 ， 使 之 尽量 覆盖 各 种 不 同 种 类 的 攻击 ， 同 时 不 断 更 新 入 侵 知识 库 ， 以 
适应 新 的 情况 。 

此 外 ， 由 于 测试 评估 入 侵 检测 系统 的 数据 都 是 公开 的 ， 如 果 针 对 测试 数据 设计 待 测试 
的 入 侵 检测 系统 ， 则 该 入 侵 检 测 系统 的 测试 结果 肯定 比较 好 ， 但 这 并 不 能 说 明 它 实际 运行 
的 状况 就 好 。 

入 侵 检测 作为 一 门 正在 蓬勃 发 展 的 新 兴 技 术 ， 出 现 的 时 间 并 不 是 很 长 。 相 应 地 ， 对 入 
侵 检测 技术 进行 评测 出 现 得 更 晚 ， 它 肯定 有 很 多 不 完善 和 有 待 改进 的 地 方 。 几 个 比较 关键 
的 问题 是 网 络 流量 仿真 、 用 户 行为 仿真 、 攻 击 特征 库 的 构建 、 评 估 环 境 的 构建 以 及 评测 结 
果 的 分 析 等 。 


7.7.3 ”入侵 检 测 发 展 
1. 入 侵 技术 的 发 展 


近年 来 ， 系 统 和 网 络 的 漏洞 被 不 断 发 现 ， 入 侵 技术 无 论 是 从 规模 上 还 是 方法 上 都 发 生 
了 变化 ， 入 侵 的 手段 与 技术 也 有 了 “进步 与 发 展 ”， 这 种 “进步 与 发 展 ” 直 接 加 速 了 人 们 
对 入 侵 检测 系统 的 研究 和 推广 工作 。 

从 最 近 几 年 的 发 展 趋势 看 ， 入 侵 技术 的 发 展 与 演化 主要 反映 在 以 下 几 个 方面 。 

ID) “入 侵 和 攻击 的 复杂 化 与 综合 化 

由 于 网 络 防范 技术 的 进步 和 多 元 化 ， 使 得 攻击 的 难度 增加 ， 因 此 入 侵 者 在 实施 入 侵 或 
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攻击 时 往往 同时 采取 多 种 入 侵 手段 ， 以 保证 入 侵 成 功 。 攻 击 本 身 复 杂 了 ， 入 侵 时 采取 的 手 
段 综合 化 了 ， 这 就 使 得 入 侵 检测 技术 也 要 不 断 更 新 ， 以 便 跟 上 入 侵 的 发 展 变化 趋势 。 

2) “入 侵 主 体 的 间接 化 

入 侵 主体 的 间接 化 ， 即 实施 入 侵 和 攻击 的 主体 的 隐蔽 化 ， 通 过 一 定 的 技术 ， 可 掩盖 攻 
击 主体 的 源 地 址 及 主机 位 置 。 使 用 隐蔽 技术 后 ， 对 于 被 攻击 对 象 来 说 ， 攻 击 的 主体 是 无 法 
直接 确定 的 。 现 在 有 不 少 攻击 都 是 借助 其 他 脆弱 主机 或 网 络 来 攻击 目标 主机 ， 而 他 们 自己 
却 隐 藏 在 背后 ， 因 此 不 容易 被 发 现 和 查 出 ， 即 使 能 够 发 现 攻击 ， 也 不 一 定 能 够 有 效 地 追踪 
到 攻击 者 。 一 般 的 攻击 者 在 攻击 别人 时 ， 肯 定 不 希望 自己 的 攻击 被 发 现 ， 至 少 是 自己 的 真 
实 他 地址 不 被 追踪 到 ， 因 此 ， 他 们 会 想方设法 地 掩盖 自己 的 行踪 。 

3) ”入 侵 和 攻击 的 规模 扩大 

在 初期 ， 入 侵 和 攻击 往往 是 针对 某 一 个 公司 或 网 站 ， 其 攻击 的 目的 常常 是 某 些 网 络 技 
术 爱 好 者 的 猎奇 行为 ， 当 然 也 不 排除 商业 的 盗窃 与 破坏 行为 。 现 在 的 攻击 主要 是 针对 网 络 
的 ， 也 就 是 说 ， 他 们 的 目的 就 是 要 使 目标 网 络 崩 溃 或 瘫痪 ， 这 样 造成 的 危害 更 严重 、 波 及 
面 更 广 。 此 外 ， 由 于 战争 对 电子 技术 与 网 络 技术 的 依赖 性 越 来 越 大 ， 未 来 战争 中 的 电子 战 
与 信息 战 将 不 可 避免 。 对 于 信息 战 ， 无 论 其 规模 与 技术 都 与 一 般 意义 上 的 计算 机 网 络 的 入 
侵 与 攻击 不 可 相提并论 。 信 息 战 的 成 败 、 国 家 主干 通信 和 网络 的 安全 就 像 国 家 的 领土 安全 一 
样 不 容 忽 视 。 

4) ”入 侵 和 攻击 技术 的 分 布 化 

以 前 常用 的 入 侵 与 攻击 行为 往往 由 单机 执行 ， 由 于 防范 技术 的 发 展 使 得 此 类 行为 不 能 
奏效 。 因 此 ， 攻 击 者 现在 多 采取 使 用 主机 同时 攻击 一 台 机 器 的 办 法 ， 这 就 是 分 布 式 拒绝 服 
务 攻击 (DDoS)， 它 能 够 在 很 短 的 时 间 内 造成 被 攻击 主机 瘫痪 。DDoS 攻击 通过 控制 数 台 脆 
弱 主 机 ， 将 其 武装 成 为 一 台 极 具 攻击 力 的 攻击 者 ， 然 后 同时 对 目标 主机 发 起 攻击 。 由 于 此 
类 分 布 式 攻击 的 单机 信息 模式 与 正常 通信 没有 差异 ， 使 用 通常 的 入 侵 检测 方法 无 法 及 时 检 
测 出 攻击 ， 所 以 往往 在 攻击 发 动 的 初期 不 能 被 发 现 。 

5) ”攻击 对 象 的 转移 

入 侵 与 攻击 常 以 网 络 为 侵犯 的 主体 ， 但 近期 攻击 行为 却 发 生 了 策略 性 的 改变 ， 由 攻击 
网 络 改 为 攻击 网 络 的 防护 系统 ， 且 愈演愈烈 。 攻 击 者 详细 地 分 析 了 入 侵 检测 系统 的 审计 方 
式 、 特 征 描述 、 通 信 模 式 ， 从 中 找 出 入 侵 检 测 系统 的 弱点 ， 然 后 加 以 攻击 。 入 侵 者 一 旦 攻 
破 入 侵 检测 系统 等 安全 部 件 ， 能 够 长 驱 直 入 ， 肆 无 忌 悦 地 攻击 目标 主机 ， 其 攻击 行为 无 法 
得 到 记录 ， 很 难 取证 ， 因 此 也 就 很 难得 到 应 有 的 惩罚 。 

2. 入 侵 检测 技术 的 发 展 

以 下 是 入 侵 检测 技术 发 展 的 几 个 重要 方向 。 

1) ”功能 与 性 能 提高 

为 提高 检测 准确 率 ， 其 他 领域 的 一 些 概 念 和 方法 被 引入 到 入 侵 检 测 系 统 中 ， 如 神经 网 
络 、 模 糊 理论 、 免 疫 系统 、 数 据 挖掘 等 。 这 些 方法 主要 是 为 了 增强 入 侵 检测 系统 的 学 习 能 
力 ， 使 得 入 侵 检测 系统 可 以 比较 智能 地 检测 出 未 知 攻击 。 但 这 些 方 法 基本 上 还 都 处 于 研究 
阶段 ， 入 侵 检测 系统 产品 还 没有 很 好 地 实现 这 些 方法 。 

此 外 ， 网 络 速 度 也 构成 了 对 检测 准确 率 的 挑战 之 一 。 现 在 网 络 的 规模 越 来 越 大 ， 入 侵 
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和 | 检测 系统 应 用 的 场合 也 越 来 越 广 ， 网 络 的 速度 在 不 断 提高 ， 因 此 ， 入 侵 检测 系统 产品 必须 
机 | 能 够 适应 高 速 网 络 发 展 的 要 求 ， 否 则 就 会 出 现 大 量 的 漏 报 现象 。 为 了 能 够 适应 高 速 网 络 的 
内 要 求 ， 入 侵 检 测 系统 中 现 有 的 一 些 技 术 将 不 得 不 进行 改进 ， 有 的 将 被 弃 用 。 
信 因此 ， 改 进 现 有 的 入 侵 检 测 方法 ， 提 出 新 的 、 可 以 应 用 于 大 规模 高 速 网 络 的 入 侵 检测 
蕊 | 方法 ， 对 于 适应 新 的 应 用 需要 ， 提 高 入 侵 检 测 系统 的 准确 率 非常 必要 。 
全 2) ”检测 和 防范 分 布 式 攻击 和 拒绝 服务 攻击 

由 于 分 布 式 攻击 隐蔽 性 强 、 攻 击 力 大 ， 因 此 现在 使 用 分 布 式 攻击 进行 入 侵 的 情况 越 来 
越 多 ， 而 现在 的 入 侵 检 测 系统 产品 对 于 分 布 式 攻 击 的 防范 能 力 普遍 较 弱 。 如 何 准确 地 描述 
| 分布 式 攻击 ， 检 测 到 可 疑 攻 击 后 ， 又 如 何 将 分 开 的 攻击 特征 合并 ， 从 中 确定 分 布 式 攻击 ， 
都 是 值得 认真 研究 的 课题 。 

3) ”实现 入 侵 检 测 系统 与 其 他 安全 部 件 的 协同 

实现 网 络 与 信息 的 安全 是 一 项 系统 工程 ， 不 是 某 一 种 单独 的 安全 部 件 就 可 以 完成 的 。 
只 有 在 不 同 的 安全 部 件 之 间 实 现 协 同 工 作 ， 才 能 更 好 地 发 挥 他 们 各 自 的 作用 ， 才 能 进一步 
保证 网 络 与 信息 的 安全 。 

4) ”入 侵 检 测 系统 的 标准 化 工作 

尽管 入 侵 检测 系统 经 历 了 20 多 年 的 发 展 , 近 几 年 又 成 为 网 络 与 信息 安全 领域 的 一 个 研 
究 热 点 ， 但 到 目前 为 止 ， 尚 没有 一 个 相关 的 国际 标准 出 现 ， 国 内 也 没有 入 侵 检 测 系统 方面 
的 标准 。 入 侵 检测 系统 的 标准 化 工作 必 将 成 为 业界 关注 的 热点 。 

5) ”入 侵 检测 系统 的 测试 和 评估 

对 于 入 侵 检 测 系统 的 测试 和 评估 ， 虽 然 不 是 入 侵 检测 系统 本 身 的 技术 ， 但 对 于 促进 入 
侵 检测 系统 的 发 展 和 入 侵 检测 系统 产品 的 推广 非常 重要 。 

以 上 从 5 个 方面 介绍 了 入 侵 检测 系统 研究 中 尚 待 解决 的 技术 问题 ， 这 些 问题 的 解决 将 
会 大 大 促进 入 侵 检 测 系统 的 发 展 。 


复习 思考 题 七 


一 、 选 择 题 


入 侵 防 护 系统 的 缩写 是 _@_，G@ 是 指 计算 机 紧急 响应 小 组 ，@ 是 认证 中 心 ,而 @ 是 
入 侵 检测 系统 的 缩写 。 


( ) OA.IDSs B.IPS CCERT D.CA 
( ) ©® A.Ds B. IPS C.CERT D.CA 
( ) ©®@ A.mDs B. IPS C. CERT D. CA 
( ) @A.IDS B. IPS CCERT D.CA 
二 、 问 答题 


1. 什么 是 入 侵 检测 系统 ? 它 由 哪些 基本 组 件 构成 ? 
2. 简 述 入 侵 检 测 的 功能 和 分 类 。 

3. 简 述 常用 的 误 用 检测 技术 和 异常 检测 技术 的 原理 。 
4. 比较 异常 检测 和 误 用 检测 技术 的 优 缺 点 。 
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- 简 述 蜜 锥 和 蜜 网 之 间 的 关系 。 

. 简 述 入 侵 响应 技术 的 基本 手段 。 

. 比较 基于 网 络 和 基于 主机 的 入 侵 检测 系统 的 优 缺 点 。 

. 入 侵 检测 系统 与 协同 的 含义 是 什么 ? 主要 协同 类 型 有 哪些 ? 

. 结合 实际 谈 一 谈 当前 入 侵 检 测 的 现状 与 不 足 ， 以 及 下 一 代入 侵 检测 应 具有 的 良好 
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特性 。 
10. 为 什么 说 入 侵 检测 是 防火 墙 的 合理 补充 ? 
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学 习 目 标 

虚拟 专用 网 络 (VPN) 指 的 是 在 公用 网 络 上 建立 专用 网 络 的 技术 。 网 络 地 址 转换 (NAT) 
属于 接 入 广域网 (WAN) 技 术 ， 是 一 种 将 私有 (保留 ) 地 址 转化 为 合法 人 P 地 址 的 转换 技术 ， 它 
被 广泛 应 用 于 各 种 类 型 Internet 接 入 方式 和 各 种 类 型 的 网 络 中 。 通过 本 章 的 学 习 , 应 该 达到 
以 下 学 习 目 标 : 

@ 热 练 掌握 VPN 的 概念 及 其 采用 的 主要 技术 。 

@ 熟练 掌握 NAT.。 


8.1 虚拟 专用 网 VPN 


8.1.1 VPN 概述 


虚拟 专用 网 络 (Virtual Private Network，VPN) 指 的 是 在 公用 网 络 上 建立 专用 网 络 的 技 
术 。 其 之 所 以 称 为 虚拟 网 , 主要 是 因为 整个 VPN 网 络 的 任意 两 个 节点 之 间 的 连接 并 没有 传 
统 专用 网 所 需 的 端 到 端的 物理 链 路 ， 而 是 架构 在 公用 网 络 服务 商 所 提供 的 网 络 平台 ， 如 
Intemet、ATM( 异 步 传输 模式 )、Frame Relay ( 帧 中 继 ) 等 之 上 的 逻辑 网 络 ， 用 户 数据 在 逻辑 
链 路 中 传输 。 它 涵盖 了 跨 共享 网 络 或 公共 网 络 的 封装 、 加 密 和 身份 验证 链接 的 专用 网 络 的 
扩展 。VPN 主要 采用 了 隧道 技术 、 加 /解密 技术 、 密 钥 管 理 技术 和 使 用 者 与 设备 身份 认证 
技术 。 

VPN 是 依靠 ISP(Internet 服务 提供 者 ) 和 其 他 NSP( 网 络 服务 提供 者 ) 在 公用 网 络 中 建立 
专用 的 数据 通信 网 络 的 技术 。 它 有 两 层 含义 : 一 是 它 是 虚拟 的 网 ， 即 任意 两 个 节点 之 间 的 
连接 并 没有 传统 专用 网 所 需要 的 端 到 端的 物理 链 路 ， 而 是 通过 一 个 共享 网 络 环境 实现 的 ， 
网 路 只 有 在 用 户 需要 时 才 建 立 ， 二 是 它 利 用 公 网 的 设施 构成 的 专用 网 。 这 样 一 个 网 兼顾 了 
公 网 和 专 网 的 许多 优点 ， 将 公 网 的 可 靠 、 功 能 丰富 与 专 网 的 灵活 、 高 效 结合 在 一 起 ， 是 介 
于 公 网 与 专用 网 之 间 的 一 种 网 。 

VPN 系统 使 分 布 在 不 同 地 方 的 专用 网 络 在 不 可 信任 的 公共 网 络 ( 如 因特网 ) 上 安全 地 通 
信 。 它 采用 复杂 的 算法 来 加 密 传输 的 信息 ， 使 得 需要 受 保护 的 数据 不 会 被 窍 取 。 一般 来 说 ， 
其 工作 流程 大 致 如 下 : 要 保护 的 主机 发 送 不 加 密 信息 到 连接 公共 网 络 的 VPN 设备 ; 后 者 根 
据 网 络 管理 员 设 置 的 规则 ， 确 认 是 否 需 要 对 数据 进行 加 密 或 让 数据 直接 通过 ;对 需要 加 密 
的 数据 ，VPN 设备 对 整个 数据 包 ( 包 括 要 传送 的 数据 、 发 送 端 和 接收 端的 卫 地 址 ) 进 行 加 密 
和 附 上 数字 签名 ，VPN 设备 加 上 新 的 数据 包头 ， 其 中 包括 目的 地 VPN 设备 需要 的 安全 信 
息 和 一 些 初始 化 参数 ，VPN 设备 对 加 密 后 数据 、 鉴 别 包 以 及 源 卫 地 址 、 目 标 VPN 设备 卫 
地 址 进行 重新 封装 , 重新 封装 后 数据 包 通 过 虚拟 通道 在 公 网 上 传输 ; 当 数据 包 到 达 目标 VPN 
设备 时 ， 数 字 签 名 被 核对 无 误 后 数据 包 被 解密 。 

典型 的 VPN 结构 是 : 若干 个 内 部 网 络 通 过 公 网 连接 起 来 ， 各 个 内 部 网 络 位 于 VPN 设 


第 8 章 VPN 与 NAT 孜 太 及 它 全 田 议 @@ 


备 的 后 面 ， 同 时 通过 路 由 器 连接 到 公 网 。 在 这 种 VPN 结构 中 ,数据 按照 严密 的 算法 在 公 网 
中 通过 多 层 的 虚拟 通道 (也 称 “ 隧 道 ”)， 从 一 端 VPN 设备 到 达 另 一 端 。 隧 道 从 一 个 VPN 
设备 开始 , 通过 路 由 器 横 跨 整个 公 网 到 达 其 他 VPN 设备 。 隧 道 的 第 二 层 要 对 数据 进行 加 密 
封装 ,到 达 目 标 VPN 设备 后 接收 方 得 到 的 是 重新 封装 后 的 数据 。 隧道 的 第 三 层 主要 任务 是 
进行 身份 验证 ， 采 用 不 同 的 算法 来 验证 信息 来 源 的 真实 性 。 

下 面 来 看 一 下 VPN 的 优越 性 。 

1) “建设 成 本 低 

VPN 的 显著 特点 是 用 户 能 够 用 公共 网 络 结构 提供 专用 网 络 业务 传输 和 服务 ， 而 一 般 不 
需要 大 量 的 投资 ， 比 建立 真正 的 专用 网 的 成 本 要 低 得 多 ， 投 资 风险 也 小 。 用 户 可 以 凭借 公 
用 网 的 环境 ， 把 属于 自己 的 网 络 用 户 终端 、 有 关 的 接 入 线路 、 模 块 及 端口 模拟 成 自己 的 专 
用 网 ， 并 通过 自己 的 网 络 管理 设施 对 VPN 进行 管理 ， 就 像 真正 的 专用 网 那样 。 

远程 专用 网 络 (Remote Private Network，RPN) 的 建造 和 维护 非常 昂贵 ， 一 般 只 有 银行 、 
跨国 公司 才 有 可 能 拥有 。 而 Intemet 遍布 世界 各 个 角落 ， 利 用 Intemet 可 以 节省 网 络 建设 的 
大 部 分 开销 ， 且 只 需 付 市 话费 用 就 可 达到 长 途 通信 的 效果 。 调 查 表明 ，, 利用 Internet 传输 数 
据 ， 公 司 可 节省 50% 的 传统 租用 网 络 运行 费用 。 

2) ”容易 扩展 

企业 只 需 依靠 提供 VPN 服务 的 ISP 就 可 以 随时 扩大 VPN 的 容量 和 覆盖 范围 ， 自 己 需 
要 做 的 事 很 少 。 

3) ”使 用 方便 

过 去 与 合作 伙伴 联网 , 必须 事先 协商 如 何在 双方 之 间 建 立 租用 线路 或 帧 中 继 线路 , VPN 
出 现 之 后 ， 这 种 协商 已 毫 无 必要 ， 真 正 达 到 了 随意 连接 和 断 开 。 

4) 易于 管理 

VPN 使 企业 可 以 利用 ISP 的 设施 和 服务 ， 同 时 又 完全 自己 掌握 网 络 的 控制 权 。 例 如 ， 
企业 可 以 委托 ISP 提供 拨号 访问 ， 由 自己 负责 用 户 的 查验 、 访 问 权 、 网 络 地 址 、 安 全 性 和 
网 络 变化 管理 等 重要 工作 。 

采用 VPN 还 可 将 用 户 原 有 的 专用 网 与 之 无 缝 地 综合 在 一 起 ， 使 用 户 可 以 实施 混合 的 
VPN 方案 ; VPN 还 具有 灵活 的 计 费 方式 ， 可 以 有 各 种 方式 接 入 ， 能 满足 不 同 的 需要 ， 具 有 
统一 的 网 络 功能 。 


8.1.2 VPN 的 分 类 


VPN 的 分 类 有 多 种 。 按 VPN 的 应 用 平台 可 分 为 软件 平台 VPN、 专 用 硬件 平台 VPN 和 
辅助 硬件 平台 VPN; 按 构 建 VPN 的 隧道 协议 (第 二 层 隧道 协议 、 第 三 层 隧 道 协 议 ) 又 可 分 为 
L2TP VPN、IPSec VPN 等 ， 按 VPN 的 部 署 模式 又 可 分 为 端 到 端 模 式 、 供 应 商 一 企业 模式 
和 内 部 供应 商 模式 等 。 通 常 根 据 业 务 类 型 ， 把 VPN 业务 大 致 分 为 两 类 。 


1. 拨号 VPN(VPDN) 

拨号 VPN 是 指 企 业 员 工 或 企业 的 小 分 支 机 构 通过 公 网 远程 拨号 的 方式 构筑 的 虚拟 网 。 
根据 隧道 发 起 方式 它 又 分 为 由 用 户 发 起 、 由 ISP 拨号 服务 器 发 起 及 由 企业 网 远程 路 由 器 发 
起 三 种 。 该 VPN 的 核心 是 通过 L2TP 协议 ， 来 实现 第 二 层 的 隧道 封装 。 这 样 一 来 ， 企 业 员 
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工 到 ISP 的 各 节点 出 差 或 办 公 时 ， 可 通过 当地 的 市 话 直接 拨号 上 网 ， 并 访问 企业 网 。 这 一 
方式 使 得 企业 网 可 以 真正 管理 自己 的 用 户 。 企 业 员工 不 必 在 ISP 上 拥有 自己 的 账号 ， 也 可 
以 使 用 自己 在 企业 网 中 的 账号 和 口令 拨号 上 网 。 从 目前 的 情况 看 , 运营 商 在 实现 VPN 业务 
时 ， 急 需 解决 不 同 厂商 设备 的 互 操作 性 的 问题 以 及 认证 、 计 费 等 问题 。 

2. 专线 VPN 


专线 VPN 为 用 户 提供 的 应 是 安全 、 可 靠 并 具有 QoS 的 VPN。 

专线 VPN 通常 是 由 IPSec 协议 来 实现 的 。IPSec 是 一 套 完整 的 协议 ， 它 定义 了 在 公 网 
上 安全 传输 数据 的 方式 。IPSec 要 防止 网 络 上 的 窃听 者 对 数据 的 算 改 , 并 确保 数据 通信 双方 
的 身份 ， 对 数据 进行 安全 加 密 。 其 中 ， 通 信 双 方 加 密 密 钥 的 交换 、 安 全 信任 关系 的 确立 是 
IPSec 实现 的 关键 。 专 线 VPN 另 一 个 重要 功能 就 是 为 用 户 提供 QoS 保障 。 

专线 VPN 又 分 内 部 网 VPN(Intranet VPN) 和 外 联网 VPN(Extranet VPN)。 内 部 网 VPN 
是 企业 的 总 部 与 分 支 机 构 间 通过 公 网 构筑 的 虚拟 网 。 外 联网 VPN 是 指 多 个 具有 合作 伙伴 关 
系 的 企业 ， 通 过 公 网 来 构筑 的 虚拟 网 。 

VPN 使 企业 可 以 利用 ISP 的 设施 和 服务 ， 同 时 又 完全 自己 掌握 网 络 的 控制 权 。 例 如 ， 
企业 可 以 委托 ISP 提供 拨号 访问 ， 由 自己 负责 用 户 的 查验 、 访 问 权 、 网 络 地 址 、 安 全 性 和 
网 络 变化 管理 等 重要 工作 。 


8.1.3 VPN 的 4 项 技术 


目前 VPN 主要 采用 4 项 技术 ， 即 隧道 技术 (Tunneling)、 加 /解密 技术 (Encryption & 
Decryption)、 密 钥 管 理 技术 (Key Managemenb、 使 用 者 与 设备 身份 认证 技术 (Authentication)。 

隧道 技术 是 VPN 的 基本 技术 , 类 似 于 点 对 点 连接 技术 , 它 在 公用 网 建立 一 条 数据 通道 
(隧道 )， 让 数据 包 通 过 这 条 隧道 传输 。 隧 道 是 由 隧道 协议 形成 的 ， 分 为 第 二 层 、 第 三 层 隧 
道 协 议 。 第 二 层 隧 道 协议 是 先 把 各 种 网 络 协议 封装 到 PPP 中 ， 再 把 整个 数据 包装 入 隧道 协 
议 中 。 这 种 双 层 封装 方法 形成 的 数据 包 人 靠 第 二 层 协 议 进行 传输 。 第 二 层 隧道 协议 有 L2F、 
PPTP、L2TP 等 。L2TP 协议 是 目前 IETF 的 标准 ， 由 IETF 融合 PPTP 与 L2F 而 形成 。 

第 三 层 隧道 协议 是 把 各 种 网 络 协 议 直 接 装 入 隧道 协议 中 ， 形 成 的 数据 包 依靠 第 三 层 协 
议 进 行 传输 。 第 三 层 隧道 协议 有 VTP、IPSec 等 。 IPSec(IP Security) 是 由 一 组 RFC 文档 组 成 ， 
定义 了 一 个 系统 来 提供 安全 协议 选择 、 安 全 算法 ， 确 定 服务 所 使 用 密 钥 等 服务 ， 从 而 在 他 
层 提供 安全 保障 。 

加 /解密 技术 是 数据 通信 中 一 项 较为 成 熟 的 技术 ，VPN 可 直接 利用 现 有 技术 。 

密 钥 管理 技术 的 主要 任务 是 如 何在 公用 数据 网 上 安全 地 传递 密 钥 而 不 被 窃取 。 现 行 密 
钥 管理 技术 又 分 为 SKIP 与 ISAKMP/OAKLEY 两 种 。SKIP 主要 是 利用 Diffie-Hellman 的 
演算 法 则 ， 在 网 络 上 传输 密 钥 ; 在 ISAKMP 中 ,双方 都 有 两 把 密 钥 ,分 别 用 于 公用 、 私 用 。 

身份 认证 技术 最 常用 的 是 使 用 者 名 称 与 密码 或 卡片 式 认证 等 方式 。 

VPN 的 连接 过 程 首先 由 客户 机 向 VPN 服务 器 发 出 请 求 ，VPN 服务 器 响应 请 求 并 向 客 
户 机 发 出 身份 质询 ， 客 户 机 将 加 密 的 响应 信息 发 送 到 VPN 服务 器 ，VPN 服务 器 根据 用 户 
数据 库 检 查 该 响应 ， 如 果 账 户 有 效 ，VPN 服务 器 将 检查 该 用 户 是 否 具有 远程 访问 权限 ， 如 
果 该 用 户 拥有 远程 访问 权限 ，VPN 服务 器 接受 此 连接 。 在 身份 验证 过 程 中 产生 的 客户 机 和 
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服务 器 公有 密 钥 将 用 来 对 数据 进行 加 密 。VPN 连接 的 示意 图 如 图 8.1 所 示 。 


一目 Internet 和 
使 用 PPTP 或 使 用 PPTP 或 
L2TP 的 VPN ISP 的 PPP L2TP 的 VPN 
连接 服务 器 服务 器 


图 8.1 VPN 的 连接 示意 图 


8.1.4 ”VPN 的 寻 址 和 路 由 


要 理解 VPN 的 工作 原理 ， 则 必须 对 VPN 的 寻 址 及 路 由 有 个 基本 认识 。VPN 连接 在 建 
立 的 同时 创建 一 个 虚拟 接口 ， 该 虚拟 接口 必须 被 分 配 适 当 的 卫 地 址 ， 同 时 需要 对 路 由 做 修 
改 或 添加 ， 以 确保 数据 流 是 在 安全 的 VPN 连接 上 而 不 是 在 公共 网 络 上 传输 。 下 面 分 别 就 远 
程 访问 VPN 和 路 由 器 -路 由 器 VPN 这 两 种 不 同 的 连接 方式 介绍 VPN 的 寻 址 和 路 由 。 

1. 远程 访问 VPN 连接 

在 远程 访问 VPN 连接 建立 过 程 中 ，VPN 服务 器 为 远程 访问 VPN 客户 机 分 配 一 个 P 
地 址 并 修改 远程 客户 机 上 的 默认 路 由 ， 从 而 使 得 在 默认 情况 下 数据 流 可 以 经 由 虚拟 接口 

1) ”也 地 址 和 拨号 VPN 客户 机 

对 于 在 创建 VPN 连接 之 前 ,需要 以 拨号 方式 上 网 的 VPN 客户 机 ， 有 两 个 人 P 地 址 必须 
被 分 配 。 

(1) 创建 PPP 连接 时 ，IPCP 与 ISP NAS 协商 ， 分 配 一 个 公共 卫 地 址 。 

(2) 创建 VPN 连接 时 ，IPCP 与 VPN 服务 器 协商 ， 分 配 一 个 Intranet IP 地 址 。 这 个 由 
VPN 服务 器 分 配 的 他 地 址 可 以 是 一 个 公共 瑟 地 址 ， 也 可 以 是 一 个 专用 卫 地 址 ， 具 体 情 况 
依据 不 同 的 企业 在 其 Intranet 上 所 实现 的 是 公共 地 址 分 配 还 是 专用 地 址 分 配 而 定 。 

分 配给 VPN 客户 机 的 两 个 人 P 地 址 都 必须 是 可 以 被 Intranet 中 的 主机 找 得 到 的 ; 反之 亦 
然 。 为 了 实现 这 一 点 ， 在 VPN 服务 器 的 路 由 表 中 必须 包含 能 找到 Intranet 中 每 一 台 主 机 的 
路 由 表 条 目 ， 而 在 Intranet 的 路 由 器 的 路 由 表 中 也 必须 包含 能 找到 所 有 VPN 客户 机 的 路 由 
表 条 目 。 

如 上 所 述 ，VPN 隧道 数据 将 产生 两 个 他 报头， 其 内 部 人 P 报头 的 源 端 和 目的 端 地 址 分 
别 是 由 VPN 服务 器 分 配 的 VPN 客户 机 P 地 址 和 Intranet 地 址 ; 其 外 部 中 报头 中 源 端 和 目 
的 端 地 址 分 别 是 由 ISP 分 配 的 VPN 客户 机 他 地 址 和 VPN 服务 器 的 公共 地 址 。 由 于 Internet 
上 的 路 由 器 仅 处 理 外 部 外 报头 ,因此 在 全 网 络 上 传输 时 ,Internet 路 由 器 将 数据 转发 到 VPN 
服务 器 的 公共 卫 地 址 上 。 

图 8.2 给 出 了 拨号 客户 机 寻 址 示意 图 ， 其 中 ， 企 业 Intranet 采用 专用 人 P 地 址 分 配 ， 传 


认 | 输 数据 为 IP 数据 报 。 


I 公共 地 址 专用 地 址 

网 目的 端 IP: 端 IP: 

络 了 ER 服 务 器 Intranet 目 标 机 
信 源 端 IP; 源 端 TP; 

百 由 ISF 分 配 由 证 NN 服务器 分 配 
旺 
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只- Intranet 


TYPEH 服 务 器 


8.2 ”PPTP 数据 包 中 的 公共 地 址 和 专用 地 址 

2) ”默认 路 由 和 基于 Internet 的 VPN 

如 图 8.3 所 示 , 拨号 客户 机 拨打 ISP 时 ,利用 至 ISP 的 连接 , 客户 机 即 添加 了 一 条 默认 
路 由 。 这 样 ， 经 由 ISP NAS 的 路 由 器 ， 客 户 机 可 以 到 达 Intemet 上 任意 目标 地 址 。 

从 图 8.3 中 我 们 已 经 看 到 ， 客 户 机 拨打 ISP 时 会 产生 一 条 默认 路 由 ， 而 随后 当 VPN 客 
户 机 创建 VPN 连接 时 ， 又 将 添加 另 一 条 直接 至 隧道 服务 器 地 址 的 默认 路 由 和 宿主 机 路 由 ， 
如 图 8.4 所 示 。 前 一 条 默认 路 由 将 被 保存 ， 但 新 的 默认 路 由 长 度 更 长 。 添 加 新 的 默认 路 由 
意味 着 在 一 条 VPN 连接 的 有 效 连接 期 内 ， 发 自 客户 机 的 数据 包 只 能 到 达 隧 道 服务 器 的 卫 
地 址 ， 而 无 法 达到 其 他 任何 Internet 目的 地 址 。 

生成 两 条 默认 路 由 的 意义 在 于 : 

(1) 当 VPN 连接 处 于 非 活动 状态 时 ， 发 自 客户 机 的 数据 包 可 到 达 任 意 Intemet 目的 地 
址 ， 但 不 能 抵达 Intranet 目的 地 址 。 


(2) 当 VPN 连接 处 于 活动 状态 时 ， 发 自 客户 机 的 数据 包 可 到 达 Intranet 目的 地 址 ， 但 
不 能 抵达 任何 Internet 目的 地 址 。 


Intranet 


8.3 拨打 1ISP 时 产生 一 条 默认 路 由 
对 于 绝 大 多 数 VPN 客户 机 而 言 ， 上 述 机 制 并 不 会 造成 困扰 ， 因 为 通常 VPN 客户 机 在 
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某 一 时 刻 或 者 与 Intranet 进行 数据 通信 或 者 与 Intemet 进行 数据 通信 ， 而 不 会 同时 与 两 者 进 
行 通信 。 


Intranet 


图 8.4 ”VPN 连接 创建 时 产生 另 一 条 新 默认 路 由 
2. 路 由 器 -路 由 器 VPN 连接 


1) ”临时 路 由 器 -路 由 器 的 VPN 连接 和 永久 路 由 器 -路 由 器 VPN 连接 

路 由 器 -路 由 器 VPN 连接 既 可 以 是 临时 性 的 ， 也 可 以 是 永久 性 的 。 

临时 路 由 器 -路 由 器 的 VPN 连接 只 有 当 有 数据 包 需 要 经 过 VPN 按 需 拨号 接口 
(Demand-dial Interface) 转 发 时 才 被 建立 起 来 ， 在 过 了 一 段 特 定 长 度 空 闲 时 间 后 即 被 断 开 。 
VPN 客户 机 ( 主 叫 路 由 器 ) 和 VPN 服务 器 (被 叫 路 由 器 ) 均 需 配置 空闲 时 间 长 度 。VPN 客户 机 
按 需 拨号 接口 的 默认 空闲 时 间 没 有 限制 ， 而 VPN 服务 器 的 默认 空闲 时 间 为 20min 。 

永久 路 由 器 -路 由 器 VPN 连接 ， 只 要 路 由 器 开始 启动 ， 即 可 建立 。 在 永久 路 由 器 -路 由 
器 的 VPN 连接 中 ,无 论 是 否 有 数据 流 发 送 ， 连 接 始 终 保 持 ， 即 便 连 接 被 中 断 ， 也 会 自动 学 
试 再 次 恢复 连接 。 

2) ”使 用 拨号 ISP 连接 的 VPN 

如 果 VPN 服务 器 和 VPN 客户 机 双方 均 通过 诸如 T1 或 帧 中 继 等 永久 性 WAN 链 路 与 
Internet 直接 相连 ， 则 该 VPN 连接 可 以 是 永久 性 的 ， 且 全 天 候 可 用 。 然 而 ， 如 果 没 有 可 用 
的 永久 性 WAN 链 路 ， 则 可 以 选择 使 用 拨号 ISP 配置 一 个 随 需 (On-demand) 路 由 器 -路 由 器 
VPN 连接 。 

在 通常 VPN 实现 中 , 远程 分 部 办 公 室 路 由 器 接收 到 需要 转发 的 数据 流 时 , 会 自动 建立 
一 条 随 需 路 由 器 -路 由 器 VPN 连接 。 例 如 某 远程 分 部 办 公 室 路 由 器 接收 到 需要 发 往 公 司 总 
部 的 数据 包 时 , 首先 使 用 拨号 链 路 与 本 地 ISP 取得 连接 ; 当 可 用 的 Intemet 连接 建立 起 来 后 ， 
该 分 部 路 由 器 -VPN 客户 机 ， 即 可 创建 一 条 路 由 器 -路 由 器 VPN 连接 ， 与 公司 总 部 路 由 器 
-VPN 服务 器 相连 。 

3) “静态 路 由 和 动态 路 由 

在 按 需 拨号 接口 被 建立 起 来 ， 且 已 经 确定 是 临时 连接 还 是 永久 连接 之 后 ， 就 可 以 选用 
以 下 3 种 方法 之 一 在 路 由 表 中 添加 路 由 信息 。 

(1) 对 于 临时 连接 ， 可 以 通过 手工 方式 添加 路 由 信息 。 手 工 配置 静态 路 由 信息 适用 于 
路 由 器 数目 不 多 的 小 型 应 用 方案 中 。 

(2) 对 于 永久 连接 ， 可 以 使 用 “自动 静态 更 新 ”(Auto-Static Updates) 来 对 静态 路 由 做 
周期 性 更 新 。 自 动静 态 路 由 可 适用 于 有 大 量 路 由 信息 的 较 大 的 应 用 环境 中 。 


(3) 对 于 永久 连接 , 则 可 以 将 VPN 连接 看 作 一 条 点 对 点 链 路 ， 选 用 其 他 合适 的 路 由 协 
议 ， 对 路 由 器 -路 由 器 VPN 连接 进行 动态 路 由 维护 。 

VPN 对 于 服务 提供 商 和 公司 企业 来 说 ， 都 草 含 着 极 大 的 商机 。 业 界 分 析 家 已 意识 到 了 
VPN 将 带 给 服务 提供 商 的 极 大 利润 。 国 外 3Com、Cisco、Shiva、Ascend 等 厂商 已 纷纷 推 
出 各 自 的 VPN 产品 , 急于 抢占 VPN 市 场 。 中国 的 VPN 市 场 也 开始 启动 , 据悉 , 中国 电信、 
ISP 均 考 虑 开拓 VPN 业务 。 虽 然 目 前 国内 企业 计划 利用 VPN 的 还 不 多 ， 但 相信 随 着 企业 
对 VPN 认识 的 深入 、 市 场 竞争 的 加 剧 、 分 支 机 构 范 围 的 扩大 ， 构 建 VPN 的 国内 企业 将 越 
来 越 多 。 

当然 ， 目 前 VPN 还 存在 一 些 缺 陷 。VPN 协议 还 未 完全 标准 化 而 各 VPN 产品 厂商 对 
VPN 的 认识 也 不 尽 相 同 ， 产 品 之 间 的 互通 性 还 有 待 解 决 ，ISP 无 法 跨越 自己 的 骨干 网 保证 
QoS，SLA( 服 务 水 平 协议 ) 只 能 对 ISP 运营 管理 的 网 段 起 作用 ， 对 于 跨国 企业 而 言 , 全球 人 * 
VPN 仍 有 赖 于 未 来 漫游 技术 及 更 先进 的 全 账 务 系 统 发 展 与 普及 方 能 实现 。 


8.2 ”网 络 地 址 转换 NAT 


8.2.1 NAT 概述 


下 面 讨论 另 一 种 情况 ， 就 是 在 专用 网 内 部 的 一 些 主机 本 来 已 经 分 配 到 了 本 地 也 地 址 ， 
但 现在 又 想 和 Intemet 上 的 主机 通信 (并 不 需要 加 密 )， 应 当 采 取 什么 措施 呢 ? 

最 简单 的 办 法 就 是 设法 再 申请 一 些 全 球 IP 地 址 。 但 这 在 很 多 情况 下 是 不 容易 做 到 的 ， 
因为 全 球 亿 地址 已 所 剩 不 多 了 。 目 前 使 用 最 多 的 方法 是 采用 网 络 地 址 转换 。 

网 络 地 址 转换 (Network Address Translation，NAT) 方 法 是 在 1994 年 提出 的 。 这 种 方法 
需要 在 专用 网 连接 到 Interet 的 路 由 器 上 安装 NAT 软件 . 装 有 NAI 软件 的 路 由 器 叫 作 NAT 
路 由 器 ， 它 至 少 有 一 个 有 效 的 内 部 全 球 地 址 IPG。 这 样 ， 所 有 使 用 本 地 地 址 的 主机 和 外 界 
通信 时 都 要 在 NAT 路 由 器 上 将 其 本 地 地 址 转换 成 IPG 才能 和 Intemet 连接 。NAT 属 接 入 广 
域 网 (WAN) 技 术 ， 是 一 种 将 私有 (保留 ) 地 址 转化 为 合法 人 P 地 址 的 转换 技术 ， 它 被 广泛 应 用 
于 各 种 类 型 Intemet 接 入 方式 和 各 种 类 型 的 网 络 中 。 原 因 很 简单 ，NAT 不 仅 完美 地 解决 了 
人 P 地 址 不 足 的 问题 ， 而 且 还 能 够 有 效 地 避免 来 自 网 络 外 部 的 攻击 ， 隐 藏 并 保护 网 络 内 部 的 
计算 机 。 


8.2.2 NAIT 的 两 种 实现 模式 


NAT 技术 中 最 常用 的 实现 模式 有 两 种 ， 即 静态 NAT 和 动态 NAT。 

静态 NAT 是 建立 内 部 本 地 地 址 和 内 部 全 球 地 址 的 一 对 一 的 永久 映射 。 当 外 部 网 络 需 要 
通过 国定 的 全 局 可 路 由 地 址 访问 内 部 主机 时 ， 静 态 NAT 就 显得 十 分 重要 。 

动态 NAT 是 建立 内 部 本 地 地 址 和 内 部 全 球 地 址 池 的 临时 对 应 关系 ， 如 果 经 过 一 段 时 
间 ， 内 部 本 地 地 址 没有 向 外 的 请 求 或 者 数据 流 ， 该 对 应 关系 将 被 删除 。 

如 图 8.5 所 示 ， 内 部 主机 X 用 本 地 地 址 IPX(10.1.0.1) 和 Intemet 上 主机 Y(194.4.5.6) 通 
信 的 详细 过 程 如 下 。 

(1) 内 部 主机 X(10.1.0.1) 发 起 对 IPY(194.4.5.6) 的 连接 。 
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(2) 所 发 送 的 数据 报 经 过 NAT 路 由 器 。 当 NAT 路 由 器 收 到 以 IPX(10.1.0.1) 为 源 地 址 
的 第 一 个 数据 包 时 ， 引 起 路 由 器 检查 NAT 映射 表 。 该 地 址 配置 有 静态 映射 ， 就 执行 第 (3) 
步 ， 如 果 没 有 静态 映射 ， 就 进行 动态 映射 ， 路 由 器 从 内 部 全 局 地 址 池 中 选择 一 个 有 效 的 地 
址 ， 并 在 NAT 映射 表 中 创建 NAT 转换 记录 。 这 种 记录 叫 基本 记录 。 

(3) 路 由 器 用 10.1.0.1 对 应 的 NAT 转换 记录 中 的 全 局 地 址 蔡 换 数据 包 源 地 址 ， 转 换 成 
全 球 地 址 IPG(125.1.2.3)， 但 目的 地 址 IPY(194.4.5.6) 保 持 不 变 ， 然 后 发 送 到 Intemet。 

(4) 目的 地 址 IPY(194.4.5.6) 收 到 数据 包 后 ， 向 卫 G(125.1.2.3) 发 回响 应 包 。 

(5) NAT 路 由 器 收 到 主机 Y 发 回 的 数据 包 时 ， 知 道 数据 包 中 的 源 地 址 是 
IPY(194.4.5.6)， 目 的 地 址 是 IPG(125.1.2.3)。 根 据 NAT 转换 表 ，NAT 路 由 器 将 目的 地 址 
IPG(125.1.2.3) 转 换 为 IPX(10.1.0.1)， 转 发 给 最 终 的 内 部 主机 义 。 

(6) 主机 X 收 到 应 答 包 ， 并 继续 保持 会 话 。 第 (1) 步 到 第 (5) 反 复 执行 ， 直 到 会 话 结束 。 

IPX 125.1.23 IpY 
* 国 _ 部 门 A ”. i WW OY 


ANY 194.4.5.6 


10.1.0.1 


— 
源 地 址 : 10.1.0. 源 地 址 : 125.1.2.3 
| 目的 地 址 :194.4.5.6 

内 部 本 地 地 址 内 部 全 球 地 址 


10.1.0.1 区 罗 攻 
图 8.5 NAT 转换 过 程 


如 果 NAT 路 由 器 具有 多 个 全 球 卫 地 址 ， 就 可 以 同时 将 多 个 本 地 地 址 转换 为 全 球 卫 地 
址 ， 因 而 使 多 个 拥有 本 地 地 址 的 主机 能 够 和 Intemet 上 的 主机 进行 通信 。 

还 有 一 种 NAT 转换 表 将 传输 层 的 端口 号 也 利用 上 ， 这 样 就 可 以 用 一 个 全 球 人 P 地 址 使 
多 个 拥有 本 地 地 址 的 主机 同时 和 Intemet 上 的 不 同 主机 进行 通信 , 这 种 方法 叫 作 网 络 地 址 端 
口 转换 (Network Address Port Translation，NAPT)， 它 将 内 部 地 址 映射 到 外 部 网 络 的 一 个 卫 
地 址 的 不 同 端口 上 。 

NAPT 普遍 应 用 于 接 入 设备 中 , 它 可 以 将 中 小 型 的 网 络 隐藏 在 一 个 合法 的 卫 地址 后 面 。 
NAPT 与 动态 地 址 NAT 不 仅 将 内 部 连接 映射 到 外 部 网 络 中 的 一 个 单独 的 人 P 地 址 上 ， 同 时 
在 该 地 址 上 加 上 一 个 由 NAT 设备 选 定 的 TCP 端口 号 。 

在 Intemet 中 使 用 NAPT 时 , 所 有 不 同 的 TCP 和 UDP 信息 流 看 起 来 好 像 来 源 于 同一 个 
JP 地 址 。 这 个 优点 在 小 型 办 公 室 内 非常 实用 ， 通 过 从 ISP 处 申请 一 个 人 P 地 址 ， 可 能 将 多 个 
连接 通过 NAPT 接 入 Internet。 

图 8.6 反映 了 内 部 源 地 址 NAPT 的 整个 映射 过 程 。 

(1) 内 部 主机 192.168.1.5 发 起 一 个 到 外 部 主机 63.5.8.10 的 连接 。 

(2) 当 路 由 器 接收 到 192.168.1.5 为 源 地 址 的 第 一 个 数据 包 时 ， 引 起 路 由 器 检查 NAT 
映射 表 。 如 果 NAT 没有 转换 记录 ， 路 由 器 就 为 192.168.1.5 作 地 址 转换 ， 并 创建 一 条 转换 
记录 。 如 果 启 用 了 NAPT， 就 进行 另 一 次 转换 ， 路 由 器 将 复 用 全 球 地 址 并 保存 足够 的 信息 ， 


以 便 还 能 将 全 球 地 址 转换 回 本 地 地 址 。NAPT 的 地 址 转换 记录 称 为 扩展 记录 。 
机 (3) 路 由 器 用 200.8.7.3 对 应 的 NAT 转换 记录 中 的 全 球 地 址 蔡 换 数据 包 源 地 址 ， 经 过 
赔 | 转换 后 ， 数 据 包 的 源 地 址 变 为 200.8.73， 然 后 转发 该 数据 包 。 
(4) 63.5.8.10 主机 接收 到 数据 包 后 ， 就 向 200.8.7.3 发 响应 包 。 
居 (5) 当 路 由 器 接收 到 内 部 全 球 地 址 的 数据 包 时 ,将 以 内 部 全 球 地 址 200.8.7.3 及 其 端口 
全 | 号、 外 部 全 球 地 址 及 其 端口 号 为 关键 字 查 找 NAT 记录 表 ， 将 数据 包 的 目的 地 址 转换 成 
192.168.1.5 并 转发 给 192.168.1.5。 

(6) 192.168.1.5 接收 到 应 答 包 ， 并 继续 保持 会 话 。 第 (1) 步 到 第 (5) 步 一 直 重 复 ， 直 到 会 


话 结束 。 
192.168.1.5 L 
国 - ONT 3 A 63.5.8.10 
| Intemet i 
192.168.1.7 [EE 见 


Web 服务 


内 部 本 地 地 址 ;端口 内 部 全 球 地址 :端口 外 部 全 球 地 址 :端口 


192.168.1.7:1024 200.8.7.3:1024 63.5.8.10: 80 
192.168.1.5:1136 200.8.7.3:1136 63.5.8.10: 80 


图 8.6 ”内 部 源 地 址 NAPT 映射 过 程 
8.3 ”因特网 的 网 络 层 安 全 协议 族 (IPSec) 


8.3.1 IPsec 与 安全 关联 (SA) 


1998 年 11 月 公布 了 因特网 网 络 层 安 全 的 系列 RFC[RFC 240 1] 一 1411][W-IPSec]。 其 中 
最 重要 的 就 是 描述 IP 安全 体系 结构 的 [RFC 2401] 和 提供 IPSec 协议 族 概 述 的 [RFC 2411]。 
IPSec 就 是 “IP 安全 (Security) 协 议 ” 的 缩写 。 

网 络 层 保密 是 指 所 有 在 人 P 数据 报 中 的 数据 都 是 加 密 的 。 此 外 ， 网 络 层 还 应 提供 源 站 鉴 
别 (Source Authentication)， 即 当 目 的 站 收 到 人 P 数据 报时 ， 能 确信 这 是 从 该 数据 报 的 源 卫 地 
址 的 主机 发 来 的 。 在 IPSec 中 最 主要 的 两 个 部 分 是 : 鉴别 首部 (Authentication Header，AH) 
和 封装 安全 有 效 载 荷 (Encapsulation Security Payload，ESP)。AH 提供 源 站 鉴别 和 数据 完整 
性 ， 但 不 能 保密 。 而 ESP 比 AH 复杂 得 多 ， 它 提供 源 站 鉴别 、 数 据 完 整 性 和 保密 。 

在 使 用 AH 或 ESP 之 前 ， 先 要 从 源 主 机 到 目的 主机 建立 一 条 网 络 层 的 逻辑 连接 。 此 逻 
辑 连接 叫 作 安全 关联 (Security Association，SA)。 这 样 ，IPSec 就 将 传统 的 因特网 无 连接 的 
网 络 层 转 换 为 具有 逻辑 连接 的 层 。 安 全 关联 是 一 个 单 向 连接 。 如 进行 双向 的 安全 通信 则 需 
要 建立 两 个 安全 关联 。 一 个 安全 关联 SA 由 一 个 三 元 组 唯一 地 确定 ， 它 包括 : 

(1) 安全 协议 (使 用 AH 或 ESP) 的 标识 符 。 

(2) 此 单 向 连接 的 目的 他 地址。 

(3) 一 个 32 bit 的 连接 标识 符 ， 称 为 安全 参数 索引 (Security Parameter Index，SPD。 
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对 于 一 个 给 定 的 安全 关联 SA， 每 一 个 IPSec 数据 报 都 有 一 个 存放 SPI 的 字段 。 通 过 此 
SA 的 所 有 数据 报 都 使 用 同样 的 SPI 值 。 


8.3.2 鉴别 首部 (AH) 


鉴别 首部 (AH) 插 在 原 数 据 报 数据 部 分 的 前 面 ， 并 将 IP 首部 的 协议 字段 置 为 31， 见 
图 8.7。 在 传输 过 程 中 ， 中 间 的 路 由 器 都 不 查看 AH 首部 。 当 数据 报到 达 目 的 站 时 ， 目 的 站 
主机 才 处 理 AH 字段 ， 以 鉴别 源 主机 和 检查 数据 报 的 完整 性 [RFC 2402]。 

AH 首部 具有 以 下 的 一 些 字 段 。 

(1) 下 一 个 首部 (8 bit)。 标 志 紧 接着 本 首部 的 下 一 个 首部 的 类 型 (如 TCP 或 UDP)。 

(2) 有 效 载荷 长 度 (8 bit)。 即 鉴别 数据 字段 的 长 度 ， 以 32 bit 字 为 单位 。 

(3) 安全 参数 索引 SPI(32 bit)。 标 志 一 个 安全 关联 。 

(4) 序号 (32 bit)。 鉴 别 数 据 字 段 的 长 度 ， 以 32 bit 字 为 单位 。 

(5) 保留 (16 bit)。 为 今后 用 。 

(6) 鉴别 数据 (可 变 )。 为 32 bit 字 的 整数 倍 ， 它 包含 了 经 数字 签名 的 报 文摘 要 (对 原来 
的 数据 报 进行 报 文 摘要 运算 )。 因 此 ， 可 用 来 鉴别 源 主 机 和 检查 IP 数据 报 的 完整 性 。 


协议 =51 


| 一 原 数据 报 的 数据 部 分 
可 鉴别 的 耳 数据 报 


图 8.7 AH 首部 的 安全 数据 报 中 的 位 置 


8.3.3 ”封装 安全 有 效 载荷 (ESP) 


在 ESP 首部 中 , 有 标识 一 个 安全 关联 的 安全 参数 索引 SPI(32 bit) 和 序号 (32 bit)。 在 ESP 
尾部 中 有 下 一 个 首部 (8 bit， 作 用 和 AH 首部 一 样 )。ESP 尾部 和 原来 数据 报 的 数据 部 分 一 起 
进行 加 密 ， 见 图 8.8， 攻 击 者 无 法 得 知 所 使 用 的 运输 层 协议 。ESP 的 鉴别 数据 和 AH 中 的 鉴 
别 数据 是 一 样 的 。 因 此 ， 用 ESP 封装 的 数据 报 既 有 鉴别 源 站 和 检查 数据 报 完 整 性 的 功能 ， 


又 能 提供 保密 。 
协议 = 50 ee 音 别 的 部 分 
-一 | 
IP 首部 [ses | TCPIUDP 报 文 段 ESP 尾部 | ESP 鉴别 数据 


| ms —| 
可 鉴别 的 保密 的 IP 数据 报 


8.8 ”在 IP 数据 报 中 的 ESP 的 各 字段 


8.4 因特网 商务 中 的 安全 协议 


因特网 商务 就 是 通过 因特网 来 进行 商务 活动 ， 如 购物 、 订 票 、 股 票 交 易 等 。 近 年 来 ， 
在 商务 安全 方面 较 出 名 的 有 两 个 协议 ， 即 已 在 许多 因特网 交易 中 使 用 的 安全 插口 层 (Secure 
Socket Layer，SSL) 和 有 很 强 竞 争 潜力 的 安全 电子 交易 (Secure Electronic Transaction，SET)。 


8.4.1 ”安全 插口 层 (SSL) 
SSL 又 称 为 安全 套 接 层 ， 是 Netscape 公司 开发 的 协议 ， 可 对 万 维 网 客户 与 服务 器 之 间 


| 传送 的 数据 进行 加 密 和 鉴别 。 它 在 双方 的 联络 阶段 协商 将 使 用 的 加 密 算法 (如 用 DES 或 RSA) 


和 密 钥 ， 以 及 客户 与 服务 器 之 间 的 鉴别 。 在 联络 阶段 完成 后 ， 所 有 传送 的 数据 都 使 用 在 联 
络 阶段 商定 的 会 话 密 钥 。SSL 不 仅 被 所 有 常用 的 浏览 器 和 万 维 网 服务 器 所 支持 ， 而 且 也 是 
运输 层 安全 协议 (Transport Layer Security，TLS) 的 基础 [RFC 2246]。 

SSL 和 TLS 并 不 仅 限 于 万 维 网 的 应 用 ， 它 们 还 可 用 于 IMAP 邮件 存 取 的 鉴别 和 数据 加 
密 。SSL 可 看 成 是 在 应 用 层 和 运输 层 之 间 的 一 个 层 ， 见 图 8.9。 在 发 送 方 ，SSL 接收 应 用 层 
的 数据 (如 HTTP 或 IMAP 报 文 )， 对 数据 进行 加 密 ， 然 后 将 加 了 密 的 数据 送 往 TCP 插口 。 
在 接收 方 ，SSL 从 TCP 插口 读 取 数据 ， 解 密 后 将 数据 交 给 应 用 层 。 

SSL 提供 以 下 3 个 功能 。 

(1) SSL 服务 器 鉴别 。 人 允许 用 户 证 实 服务 器 的 身份 。 具 有 SSL 功能 的 浏览 器 维持 一 个 
表 ， 上 面 有 一 些 可 信赖 的 认证 中 心 (Certificate Authority，CA) 和 它们 的 公开 密 钥 。 当 浏览 器 
要 和 一 个 具有 SSL 功能 的 服务 器 进行 商务 活动 时 ， 浏 览 器 就 从 服务 器 得 到 含有 服务 器 的 公 
开 密 钥 的 证 书 。 此 证 书 是 由 某 个 认证 中 心 CA 发 出 的 (此 CA 在 客户 的 表 中 )。 这 就 使 得 客户 
在 提交 其 信用 卡 之 前 能 够 鉴别 服务 器 的 身份 。 

(2) 加 密 的 SSL 会 话 。 客户 和 服务 器 交互 的 所 有 数据 都 在 发 送 方 加 密 , 在 接收 方 解 密 。 
SSL 还 有 检测 攻击 者 有 无 窃听 传送 数据 的 功能 。 

(3) SSL 客户 鉴别 。 人 允许 服务 器 证 实 客户 的 身份 。 这 个 信息 对 服务 器 是 很 重要 的 。 例 
如 ， 当 银行 将 保密 的 有 关 财 务 信息 发 送 给 某 顾客 时 ， 就 必须 检验 接收 者 的 身份 。 


HTTP IMAP 


SSL 功能 标准 插口 


8.9 安全 插口 层 (SSL) 的 位 置 


下 面 通 过 一 个 简单 的 例子 说 明 SSL 的 工作 原理 。 
假定 A 有 一 个 使 用 SSL 的 安全 网 页 。B 上 网 时 用 鼠标 点 击 到 这 个 安全 网 页 的 链接 (这 
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种 安全 网 页 的 URL 的 协议 部 分 不 是 HITP 而 是 HITPS)。 接 着 ， 服 务 器 和 浏览 器 就 执行 握 
手 协议 ， 其 主要 过 程 如 下 。 

(1) 浏览 器 向 服务 器 发 送 浏览 器 的 SSL 版 本 号 和 密码 编码 的 参数 选择 (Preference)( 因 
为 浏览 器 和 服务 器 要 协商 使 用 哪 一 种 对 称 密 钥 算 法 )。 

(2) 服务 器 向 浏览 器 发 送 服务 器 的 SSL 版 本 号 、 密 码 编码 的 参数 选择 及 服务 器 的 证 书 。 
证 书包 括 服务 器 的 RSA 公开 密 钥 。 此 证 书 用 某 个 认证 中 心 的 私有 密 钥 加 密 。 

(3) 浏览 器 有 一 个 可 信赖 的 CA 表 ， 表 中 有 每 一 个 CA 的 公开 密 钥 。 当 浏览 器 收 到 服 
务 器 发 来 的 证 书 时 ， 就 检查 此 证 书 是 否 在 自己 的 可 信赖 的 CA 表 中 。 如 不 在 ， 则 后 面 的 加 
密 和 鉴别 连接 就 不 能 再 进行 下 去 。 如 在 ， 浏 览 器 就 使 用 CA 的 公开 密 钥 对 证 书 解密 ， 这 样 
就 得 到 了 服务 器 的 公开 密 钥 。 

(4) 浏览 器 随机 地 产生 一 个 对 称 会 话 密 钥 ， 并 用 服务 器 的 公开 密 钥 加 密 ， 然 后 将 加 密 
的 会 话 密 钥 发 送 给 服务 器 。 

(5) 浏览 器 向 服务 器 发 送 一 个 报 文 ， 说 明 以 后 浏览 器 将 使 用 此 会 话 密 钥 进行 加 密 。 然 
后 浏览 器 再 向 服务 器 发 送 一 个 单独 的 加 密 报 文 ， 表 明 浏览 器 端的 握手 过 程 已 经 完 

(6) 服务 器 也 向 浏览 器 发 送 一 个 报 文 ， 说 明 以 后 服务 器 将 使 用 此 会 话 密 钥 进行 加 密 。 
然后 服务 器 再 向 浏览 器 发 送 一 个 单独 的 加 密 报 文 ， 表 明 服务 器 端的 握手 过 程 已 经 完成 。 

(7) SSL 的 握手 过 程 至 此 已 经 完成 ， 下 面 就 可 开始 SSL 的 会 话 过 程 。 浏 览 器 和 服务 器 
都 使 用 这 个 会 话 密 钥 对 所 发 送 的 报 文 进行 加 密 。 

由 于 SSL 简单 且 开发 得 较 早 ， 因 此 目前 在 因特网 商务 中 使 用 比较 广泛 。 但 SSL 并 非 专 
门 为 信用 卡 交易 而 设计 的 ， 它 只 是 在 客户 与 服务 器 之 间 提 供 了 一 般 的 安全 通信 。SSL 还 缺 
少 一 些 措施 以 防止 在 因特网 商务 中 出 现 各 种 可 能 的 欺骗 行为 。 


8.4.2 ”安全 电子 交易 (SET) 


安全 电子 交易 (SET) 是 专 为 在 因特网 上 进行 安全 信用 卡 交易 的 协议 。 它 最 初 是 由 两 个 著 
名 信用 卡 公司 Visa 和 MasterCard 于 1996 年 开发 的 ， 世 界 上 许多 具有 领先 技术 的 公司 也 参 
与 其 中 。1997 年 年 底 成 立 了 实体 SETCo， 目 的 是 在 全 球 推广 使 用 SET。 

SET 的 主要 特点 如 下 。 

(1) SET 是 专 为 与 支付 有 关 的 报 文 进行 加 密 的 , 它 不 能 像 SSL 那样 对 任意 的 数据 (如 正 
文 或 图 像 ) 进 行 加 密 。 

(2) SET 协议 涉及 3 方 ， 即 顾客 、 商 家 和 商业 银行 。 所 有 在 这 3 方 之 间 交 互 的 敏感 信 
息 都 被 加 密 。 

(3) SET 要 求 3 方 都 有 证 书 。 在 SET 交易 中 ， 商 家 看 不 见 顾客 传送 给 商业 银行 的 信用 
卡号 码 。 这 是 SET 的 一 个 最 关键 的 特性 。 

在 一 个 SET 交易 中 要 使 用 3 个 软件 。 

(1) 浏览 器 钱包 。 这 个 软件 集成 在 浏览 器 中 ， 它 为 顾客 在 购物 时 提供 信用 卡 和 证 书 的 
存储 和 管理 的 地 方 ， 并 响应 从 商家 发 来 的 SET 报 文 ， 提 示 顾 客 选 择 信 用 卡 进 行 支付 。 

(2) 商家 服务 器 。 这 是 在 万 维 网 上 提供 商品 交易 的 实现 引擎 。 它 处 理 持 卡 人 的 交易 ， 
并 与 商业 银行 通信 。 

(3) 支付 网 关 (Acquirer Gateway)。 这 是 商业 银行 使 用 的 软件 ， 处 理 信用 卡 的 交易 ， 包 


@_ 


括 授权 和 支付 ， 是 个 相当 复杂 的 软件 。 

下 面 以 顾客 B 到 公司 A 用 SET 购买 物品 为 例 来 说 明 SET 的 工作 原理 。 这 里 涉及 两 个 
银行 ， 即 A 的 银行 (公司 A 的 支付 银行 ) 和 B 的 银行 (给 B 发 出 信用 卡 的 银行 )。 

(1) B 告 诉 A 他 想 用 信用 卡 购买 公司 A 的 物品 。 

(2) A 将 物品 清单 和 一 个 唯一 的 交易 标识 符 发 送 给 B。 

(3) A 将 其 商家 的 证 书包 括 商家 的 公开 密 钥 发 送 给 B。A 还 向 B 发 送 其 银行 的 证 书 ， 
包括 银行 的 公开 密 钥 。 这 两 个 证 书 都 用 一 个 认证 中 心 CA 的 私有 密 钥 进行 加 密 。 

(4) B 使 用 认证 中 心 CA 的 公开 密 钥 对 这 两 个 证 书 解密 。 于 是 B 有 了 A 的 公开 密 钥 和 


| A 的 银行 的 公开 密 钥 。 


(5) B 生成 两 个 数据 包 : 给 A 用 的 订货 信息 OI(Order Information) 和 给 A 的 银行 用 的 
购买 指令 PI(Purchase Instruction)。OI 包括 交易 标识 符 和 将 要 使 用 的 信用 卡 的 类 别 ， 但 不 包 
含 B 的 信用 卡号 码 。PI 则 包括 交易 标识 符 、B 的 信用 卡号 码 以 及 B 同意 向 A 付出 的 款 数 。 
OI 用 A 的 公开 密 钥 加 密 ， 而 PI 用 A 的 银行 的 公开 密 钥 加 密 。B 将 加 密 后 的 OI 和 PI 发 送 
给 A。 请 注意 ，PI 虽然 是 给 A 的 银行 用 的 ， 但 并 不 是 由 B 直接 发 送 给 A 的 银行 。 

(6) A 生成 对 信用 卡 支付 请 求 (Payment Requesb 的 授权 请 求 (Authorization Request), 它 
包括 交易 标识 符 。 

(7) A 用 银行 的 公开 密 钥 将 一 个 报 文 加 密 发 送 给 银行 ， 此 报 文 包括 授权 请 求 、 从 B 发 
过 来 的 PI 数据 包 及 A 的 证 书 。 

(8) A 的 银行 收 到 此 报 文 ， 将 其 解密 。A 的 银行 要 检查 此 报 文 有 无 被 算 改 ， 以 及 检查 
在 授权 请 求 中 的 交易 标识 符 是 否 与 B 的 PI 数据 包 给 出 的 一 致 。 

(9) A 的 银行 通过 传统 的 银行 信用 卡 信 道 向 B 的 银行 发 送 请 求 支付 授权 的 报 文 。 

(10) B 的 银行 准许 支付 后 , A 的 银行 就 向 A 发 送 加 密 的 响应 。 此 响应 包括 交易 标识 符 。 

(11) 若 此 次 交易 被 批准 ，A 就 向 B 发 送 响 应 报 文 。 此 报 文 作为 收据 ， 并 通知 B: “ 支 
付 已 被 接受 ， 所 购物 品 即 将 发 出 ”。 

SET 的 特点 中 很 重要 的 一 点 就 是 购物 人 的 信用 卡号 码 不 向 商家 暴露 。 我 们 注意 到 在 上 
面 的 第 (5) 项 中 ，B 使 用 银行 的 密 钥 对 其 信用 卡号 码 加 密 。 


8.5 PGP 协议 


PGP(Pretty Good Privacy, 更 好 的 保护 隐私 ) 是 一 个 基于 RSA 公 匙 加 密 体 系 的 邮件 加 密 
软件 。 可 以 用 它 对 邮件 保密 以 防止 非 授权 者 阅读 ， 它 还 能 对 邮件 加 上 数字 签名 ， 从 而 使 收 
信人 可 以 确认 邮件 的 发 送 者 ， 并 能 确信 邮件 没有 被 算 改 。 它 可 以 提供 一 种 安全 的 通信 方式 ， 
而 事先 并 不 需要 任何 保密 的 渠道 用 来 传递 密 匙 。 它 采用 了 一 种 RSA 和 传统 加 密 的 杂 合 算 
法 ， 用 于 数字 签名 的 邮件 文摘 算法 和 加 密 前 压缩 等 ， 还 有 一 个 良好 的 人 机 工程 设计 。 它 的 
功能 强大 ， 有 很 快 的 速度 ， 而 且 它 的 源 代码 是 免费 的 。 


8.5.1 功能 


PGP 使 用 加 密 及 校 验 的 方式 ， 提 供 了 多 种 功能 和 工具 ， 帮 助 保 证 电子 邮件 、 文 件 、 磁 
盘 以 及 网 络 通信 的 安全 。 可 以 使 用 PGP 做 以 下 这 些 事情 : 
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(1) 在 任何 软件 中 进行 加 密 /签名 及 解密 / 校 验 。 通过 PGP 选项 和 电子 邮件 插件 ,可 以 
在 任何 软件 中 使 用 PGP 的 功能 。 

(2) 创建 及 管理 密 钥 。 使 用 PGPkeys 来 创建 、 查 看 和 维护 PGP 密 钥 对 以 及 把 任何 人 
的 公 钥 加 入 公 钥 库 中 。 

(3) 创建 自 解密 压缩 文档 (Self-Decrypting Archives, SDA)。 可 以 建立 一 个 自动 解密 的 可 
执行 文件 。 任 何人 不 需要 事先 安装 PGP， 只 要 得 知 该 文件 的 加 密 密 码 ， 就 可 以 把 这 个 文件 
解密 。 这 个 功能 尤其 在 需要 把 文件 发 送 给 没有 安装 PGP 的 人 时 特别 好 用 。 并 且 ， 此 功能 
还 能 对 内 藤 其 中 的 文件 进行 压缩 ， 压 缩 率 与 ZIP 相似 ， 比 RAR 略 低 ( 某 些 时 候 略 高 ， 比 如 
含有 大 量 文本 )。 

(4) 创建 PGPdisk 加 密 文件 。 该 功能 可 以 创建 一 个 pgd 的 文件 ， 此 文件 用 PGP Disk 功 
能 加 载 后 ， 将 以 新 分 区 的 形式 出 现 ， 可 以 在 此 分 区 内 放 入 需要 保密 的 任何 文件 。 其 使 用 私 
钥 和 密码 两 者 共用 的 方式 保存 加 密 数 据 ， 保 密 性 坚不可摧 ， 但 需要 注意 的 是 ， 一 定 要 在 重 
装 系统 前 记得 备份 “我 的 文档 ”中 的 PGP 文件 夹 里 的 所 有 文件 ， 以 备 重 装 后 恢复 私 钥 ， 否 
则 将 永远 没有 可 能 再 次 打开 曾经 在 该 系统 下 创建 的 任何 加 密 文件 。 

(5) 永久 的 粉碎 销毁 文件 、 文 件 夹 ， 并 释放 出 磁盘 空间 。 可 以 使 用 PGP 粉碎 工具 来 永 
久 地 删除 那些 敏感 的 文件 和 文件 夹 ， 而 不 会 遗留 任何 数据 片段 在 硬盘 上 。 也 可 以 使 用 PGP 
自由 空间 粉碎 器 来 再 次 清除 已 经 被 删除 的 文件 实际 占用 的 硬盘 空间 。 这 两 个 工具 都 是 要 确 
保 用 户 所 删除 的 数据 将 永远 不 可 能 被 别有用心 的 人 恢复 。 

(6) 全 盘 加 密 ， 也 称 完整 磁盘 加 密 。 该 功能 可 将 整个 硬盘 上 所 有 数据 加 密 ， 甚 至 包括 
操作 系统 本 身 。 提 供 极 高 的 安全 性 ， 没 有 密码 的 人 绝 无 可 能 使 用 您 的 系统 或 查看 硬盘 里 存 
放 的 文件 、 文 件 夹 等 数据 。 即 便 是 硬盘 被 拆卸 到 另外 的 计算 机 上 ， 该 功能 仍 将 忠实 地 保护 
数据 、 加 密 后 的 数据 维持 原 有 的 结构 ， 文 件 和 文件 夹 的 位 置 都 不 会 改变 。 

(7) 即时 消息 工具 加 密 。 该 功能 可 将 支持 的 即时 消息 工具 IGM， 也 称 即 时 通信 工具 、 聊 
天 工具 ) 所 发 送 的 信息 完全 经 由 PGP 处 理 ， 只 有 拥有 对 应 私 钥 的 和 密码 的 对 方才 可 以 解 开 
消息 的 内 容 。 任 何人 截获 到 也 没有 任何 意义 ， 仅 仅 是 一 堆 乱码 。 

(8) PGP zip，PGP 压缩 包 。 该 功能 可 以 创建 类 似 其 他 压缩 软件 打包 压缩 后 的 文件 包 ， 
但 不 同 的 是 其 拥有 坚不可摧 的 安全 性 。 

(9) 网 络 共享 。 可 以 使 用 PGP 接管 共享 文件 夹 本 身 及 其 中 的 文件 ， 安 全 性 远 远 高 于 操 
作 系 统 本 身 提供 的 账号 验证 功能 。 并 且 可 以 方便 地 管理 允许 的 授权 用 户 可 以 进行 的 操作 。 
极 大 地 方便 了 需要 经 常 在 内 部 网 络 中 共享 文件 的 企业 用 户 , 免 于 受 蠕 虫 病 毒 和 黑客 的 侵袭 。 

(10) 创建 可 移动 加 密 介质 (USB/CD/DVD) 产 品 。 


8.5.2 电子 邮件 加 密 


寄 出 的 电子 邮件 内 容 会 不 会 被 人 窃取 ， 会 不 会 收 到 伪 冒 的 电子 邮件 ，PGP 可 以 自动 地 
帮 做 eMail 加 密 及 签 章 。 

可 以 自己 设 定 各 种 安全 政策 ， 如 收 件 人 是 谁 、 主 旨 内 容 为 何 时 就 需要 加 密 与 签 章 ， 其 
他 情况 可 以 只 签 章 (证 明 这 信和 是 本 人 发 的 ) 而 不 加 密 ， 只 要 选中 PGP Mail Proxy Service 复 选 
框 ，PGP 就 依照 设 定 的 规则 自动 执行 ，PGP 会 找 出 收 件 人 的 公 钥 ， 使 用 此 公 钥 来 加 密 邮件 
内 容 ， 再 用 自己 的 私 钥 来 签 章 该 邮件 ; 对 方 PGP 收 到 该 邮件 时 ,会 先 用 你 的 公 钥 来 验证 该 


@_ 


邮件 确 是 你 寄 出 的 ， 然 后 用 他 自己 的 私 钥 来 解 开 该 邮件 内 容 。 所 有 动作 都 由 PGP 在 背后 自 
动 执 行 。 

也 可 以 不 用 PGP Mail Proxy Service, 自己 可 以 先 用 Notepad 之 类 的 工具 编写 邮件 内 文 ， 
然后 按 PGP Icon 选择 Curent Window， 再 选择 Encrypt & Sign 或 Encrypt， 就 会 出 现 计 算 
机 里 所 有 公 钥 的 人 让 人 选择 ， 可 以 选取 多 个 人 ， 这 些 人 就 是 可 以 解密 你 加 密 的 内 容 。 

如 果 只 是 要 附件 文件 加 密 ， 如 一 张 自 拍照 (图 档 ) 或 是 研发 中 的 CAD/CAM 文档 ， 或 是 
一 般 机 密 的 Office 档案 ， 可 以 直接 在 档案 总 管 下 右 击 ， 在 弹出 的 快捷 菜单 下 选择 PGP 
Desktop 命令 , 然后 选择 Secure .… with key..…，PGP 窗口 弹出 选择 可 解 开 此 加 密 文档 的 人 ( 金 


| 钥 )， 该 档案 就 被 加 密 。 


8.5.3 ”虚拟 磁盘 驱动 器 


如 果 只 是 想 要 加 密 计算 机 里 的 私密 数据 ， 除 了 本 人 (或 加 上 指定 的 人 ) 没 有 其 他 人 可 以 
解密 这 些 数据 。 所 以 即使 计算 机 遗失 、 计 算 机 被 盗用 、 甚 或 检 调 单位 来 搜 ， 也 不 用 担心 这 
些 私密 资料 外 泄 。 通 常 ， 最 安全 的 方法 伴随 的 是 使 用 不 便 ,但 是 PGP 的 虚拟 磁盘 驱动 器 加 
密 功能 既 安全 又 好 用 。 

可 以 指定 硬盘 某 空间 来 做 加 密 磁盘 驱动 器 ， 在 这 磁盘 驱动 器 里 的 档案 及 数据 都 是 加 密 
过 的 ， 只 有 自己 或 是 被 指定 可 出 示 私 钥 或 使 用 者 代号 密码 才能 解密 这 些 数据 。 任 何 机 密 的 
档案 都 可 以 放 到 里 面 ， 加 过 密 的 磁盘 的 操作 如 同一 般 档 案 总 管 ， 依 旧 使 用 Word、Excel、 
Photoshop 等 软件 包 或 应 用 程序 来 打开 它 ， 完 全 不 受 影响 ， 因 为 PGP 自动 处 理 进出 这 磁盘 
驱动 器 的 加 解密 工作 。 

电子 邮件 软件 如 Outlook、Outlook Express 等 ， 无 论 是 收 件 箱 还 是 寄 件 备份 ， 其 实 都 是 
档案 而 已 ， 如 Outlook 是 .pst 文件 ， 这 些 电子 邮 件 档案 通常 包括 很 多 机 密 内 容 。 


8.5.4 加 密 与 压缩 功能 


如 果 只 是 想 将 部 分 目录 或 档案 加 密 后 传 给 别人 (eMail 或 FTP 等 )， 当 然 可 以 用 WinZip 
或 WinRAR 等 工具 里 的 密码 保护 ， 但 其 加 密 算法 较 弱 ， 同 时 密码 也 可 能 被 猜 到 ， 这 对 于 要 
传送 极 机 密 的 档案 数据 是 有 风险 的 。PGP 则 提供 较 高 安全 的 类 似 工具 ， 如 果 对 方 有 PGP， 
应 该 使 用 对 方 的 公 钥 来 加 密 ， 如 果 要 将 加 密 文档 送 给 多 人 ， 就 加 入 多 个 公 钥 ， 拥 有 任何 一 
个 公 钥 所 对 应 的 私 钥 都 可 以 解密 这 些 文档 ， 这 是 使 用 RSA 2048 bit 加 密 算法 (内 定 )， 所 以 
比较 安全 ;加 完 密 后 再 用 自己 的 私 钥 来 签 章 ，PGP 同时 帮助 将 文档 压缩 。 

如 果 对 方 没有 PGP 时 ， 可 以 使 用 Self-Decrypting Archive(SDA)，PGP 会 要 求 输入 加 密 
密码 ， 然 后 使 用 该 密码 来 加 密 文档 ， 并 产生 可 自动 解密 的 执行 文档 ， 当 然 ， 必 须 另外 告知 
对 方 解 密 的 密码 。 


My 


题 与 思考 题 八 


1. VPN 的 优越 性 有 哪些 ? 
2. VPN 主要 采用 了 哪 几 项 技术 ? 
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3. NAT 网 络 地 址 转换 的 目的 是 什么 ? 静态 NAT 和 动态 NAT 有 何 区 别 ? 

4. 请 举例 说 明 NAT 网 络 地 址 转换 的 工作 过 程 。 

5. 某 一 办 公 室 有 两 台 计 算 机 需要 同时 连接 mnternet， 只 有 一 台 ADSL, 一 个 账号 且 不 能 
共享 ， 请 给 出 两 种 实现 方案 ， 说 明 实 现 方 法 并 画 出 示意 图 。 

6. 虚拟 专用 网 的 含义 是 什么 ? 

7. 在 网 络 地 址 转换 (NAT) 中 ， 内 部 主机 X( 本 地 地 址 IPX) 要 和 外 部 因特网 上 的 主机 
Y( 全 球 地 址 IPY) 进 行 通信 ，NAT 路 由 器 的 全 球 地 址 IPG: 

(1) NAT 路 由 器 收 到 义 发 出 报 文 时 ， 如 何 将 地 址 进行 变换 ? 

(2) NAT 路 由 器 收 到 立 发 回报 文 时 ， 如 何 将 地 址 进行 变换 ? 

8. 简 述 IPSec 的 主要 特点 。 

9. 简 述 安全 插口 层 SSL 的 主要 特点 。 

10. 简 述 PGP 协议 的 主要 功能 。 


第 9 章 计算 机 网 络 管理 与 维护 技术 


学 习 目 标 
对 于 一 个 庞大 的 计算 机 网 络 来 说 , 良好 的 管理 与 维护 是 保证 网 络 正常 运转 的 必要 条 件 ， 
这 就 要 求 网 络 管 理 人 员 掌 握 一 定 的 管理 与 维护 技术 。 系统 学 习 Windows 自 带 的 常用 网 络 工 
具 ， 网 卡 、 集 线 器 、 交 换 机 、 路 由 器 、 网 线 和 RJ-45 接头 等 网 络 连 接 设备 的 维护 ， 网 络 的 
性 能 优化 ， 常 用 网 络 故障 及 排除 方法 。 通 过 本 章 的 学 习 ， 读 者 应 该 掌握 以 下 内 容 
@ 掌握 网 络 管理 的 基本 概念 、 网 络 管理 协议 、 网 络 管理 工具 、 网 络 维护 方法 。 
@ 掌握 Windows 自 带 的 一 些 网 络 工具 的 使 用 方法 ,网 络 连接 设备 的 维护 方法 和 技巧 ， 
内 存 、CPU、 硬 盘 和 网 络 接口 的 优化 方法 ，Internet 常见 故障 分 析 和 排除 方法 ， 局 
域 网 常见 故障 分 析 和 排除 方法 。 
@ 了 解 网 络 常见 故障 排除 的 思路 和 工具 。 


9.1 网 络 管理 技术 


网 络 管理 包括 对 硬件 、 软 件 和 人 力 的 使 用 、 综 合 与 协调 ， 以 便 对 网 络 资源 进行 监视 、 
测试 、 配 置 、 分 析 、 评 价 和 控制 ， 这 样 就 能 以 合理 的 价格 满足 网 络 的 一 些 需 求 ， 如 实时 运 
行 性 能 、 服 务 质 量 等 。 网 络 管理 常 简称 为 网 管 。 

网 络 管理 是 指 网 络 管理 员 通过 网 络 管理 程序 对 网 络 上 的 资源 进行 集中 化 管理 的 操作 ， 
包括 配置 管理 、 性 能 和 记 账 管理 、 问 题 管理 、 操 作 管理 和 变化 管理 等 。 一 台 设 备 所 支持 的 
管理 程度 反映 了 该 设备 的 可 管理 性 及 可 操作 性 。 

而 交换 机 的 管理 功能 是 指 交 换 机 如 何 控制 用 户 访问 交换 机 ， 以 及 用 户 对 交换 机 的 可 视 
程度 如 何 。 通 常 ， 交 换 机 厂商 都 提供 管理 软件 或 满足 第 三 方 管理 软件 远程 管理 交换 机 。 一 
般 的 交换 机 满足 SNMP MIB I/MIB II 统计 管理 功能 ,而 复杂 一 些 的 交换 机 会 增加 通过 内 置 
RMON 组 (mini-RMON) 来 支持 RMON 主动 监视 功能 。 有 的 交换 机 还 允许 外 接 RMON 探头 
监视 可 选 端口 的 网 络 状况 。 


9.1.1 网 络 管理 的 意义 


随 着 计算 机 网 络 的 发 展 与 普及 ， 一 方面 ， 对 于 如 何 保证 网 络 的 安全 、 组 织 网 络 高 效 运 
行 提出 了 迫切 的 要 求 ; 另 一 方面 ， 计 算 机 网 络 日 益 庞大 ， 使 管理 更 加 复杂 。 这 主要 表现 在 
以 下 几 个 方面 。 

(1) 网 络 覆 盖 范 围 越 来 越 大 。 

(2) 网 络 用 户 数目 不 断 增 加 。 

(3) 网 络 共享 数据 量 剧 增 。 

(4) 网 络 通信 量 剧 增 。 

(5) 网 络 应 用 软件 类 型 不 断 增加 。 
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(6) 网 络 对 不 同 操作 系统 的 兼容 性 要 求 不 断 提 高 。 

这 种 大 型 、 复 杂 、 异 构 型 的 网 络 靠 人 工 是 无 法 管理 的 ， 随 着 网 络 管理 技术 的 日 益 成 熟 ， 
网 络 管理 显得 越 来 越 重 要 。 计算 机 网 络 管理 技术 的 发 展 是 与 Intemet 的 发 展 同步 进行 的 , 随 
着 网 络 技术 的 发 展 ， 网 络 管理 技术 也 得 到 了 迅速 的 发 展 。 时 至 今日 ， 计 算 机 时 代 和 全 球 信 
息 化 已 经 到 来 ， 网 络 管理 和 网 络 安全 等 问题 的 重要 性 日 益 突出 。 一 旦 计算 机 网 络 崩 溃 ， 将 
会 给 企业 、 公 司 、 单 位 网 络 中 的 各 种 数据 和 信息 资源 ， 以 及 人 们 的 工作 、 学 习 和 日 常生 活 
带 来 巨大 的 损失 。 因 此 ， 网 络 管理 成 为 网 络 技术 发 展 中 的 一 项 重要 技术 ， 它 不 但 对 网 络 技 
术 的 发 展 有 着 重要 的 影响 ， 也 是 现代 信息 网 络 中 最 重要 的 研究 课题 之 一 ， 并 为 越 来 越 多 的 
人 所 重视 。 自 20 世纪 80 年 代 起 ， 随 着 一 系列 网 络 管理 标准 的 出 台 ， 出 现 了 大 量 的 商用 网 
络 管理 系统 。 

随 着 网 络 规模 的 扩大 ， 网 络 已 不 再 是 单一 型 的 网 络 ， 而 是 由 若干 个 大 大 小 小 的 子 网 组 
成 ， 同 时 集成 了 多 种 网 络 操作 系统 的 平台 ， 包 括 各 种 不 同 三 家、 公司 的 网 络 设备 和 产品 。 
此 外 ， 为 了 提供 各 种 服务 ， 还 集成 了 多 种 网 络 软件 。 因 而 ， 如 果 没 有 一 个 高 效 的 网 络 管理 
系统 ， 则 很 难 向 网 络 用 户 提供 正常 的 网 络 服务 ， 也 很 难保 障 网 络 能 无 故障 、 安 全 地 运行 。 
因此 ， 为 了 保证 计算 机 网 络 中 硬件 设备 和 软件 的 正常 运行 ， 除 了 需要 专门 的 网 络 管理 技术 
人 员外 ， 还 需要 利用 专用 的 网 络 管理 工具 来 维护 和 管理 网 络 的 运行 。 

总 之 ， 现 代 化 的 网 络 管理 技术 集 通信 技术 、 网 络 技术 、Intemet 服务 技术 和 信息 处 理 技 
术 等 于 一 身 ， 而 现代 化 网 络 的 管理 人 员 则 应 当 能 够 通过 网 络 管理 平台 和 管理 工具 调度 和 协 
调资 源 的 使 用 ， 并 可 以 对 网 络 实行 配置 管理 、 故 障 管理 、 性 能 管理 和 安全 管理 等 多 方面 管 
理工 具 的 人 员 。 


9.1.2 ”网 络 管理 的 基本 概念 
1. 网 络 管理 的 定义 


对 于 一 个 网 络 来 说 ， 首 先 应 当 建立 起 网 络 ， 实 现 网 络 设计 的 功能 。 其 次 是 通过 网 络 管 
理 系 统 保证 建立 起 的 网 络 系统 能 够 持续 、 正 常 、 稳 定 、 安 全 和 高 效 地 运行 。 此 外 ， 当 网 络 
出 现 故 障 时 ， 网 络 管理 系统 还 应 当 能 够 进行 及 时 的 报告 和 处 理 ， 从 而 保障 网 络 的 正常 运行 。 
因此 ， 网 络 管理 就 是 为 了 完成 上 述 目标 而 对 网 络 系统 实施 的 一 系列 方法 的 措施 ， 换 言 之 ， 
网 络 管理 就 是 指 通过 某 种 方式 对 网 络 状态 进行 的 调整 ， 其 目的 是 使 网 络 能 正常 、 高 效 地 运 
行 ， 并 使 网 络 中 的 各 种 资源 得 到 更 加 高 效 的 利用 ， 当 网 络 出 现 故 障 时 ， 系 统 应 能 及 时 地 作 
出 报告 和 处 理 。 


2. 网 络 管理 的 分 类 


网 络 管理 为 控制 、 协 调和 监控 网 络 资源 提供 了 手段 ， 其 实质 就 是 网 络 管理 者 与 被 管理 
对 象 之 间 如 何 利用 网 络 实现 信息 交换 ， 最 终 完成 网 络 管理 的 功能 。 

从 范围 来 看 ， 可 以 将 网 络 管理 分 为 以 下 两 类 。 

(1) 狭义 网 络 管理 。 仅 指 对 网 络 交换 量 等 网 络 参考 性 能 的 管理 。 

(2) 广义 网 络 管理 。 是 指 对 网 络 应 用 系统 的 管理 。 


算 3. 网 络 管理 系统 


网 1) “网 络 管理 系统 的 定义 
站 通常 网 络 管理 是 由 网 络 管理 系统 来 实施 的 ， 对 一 个 网 络 管理 系统 的 定义 应 当 包含 以 下 
息 | 几 项 内 容 。 
安 (1) 系统 的 功能 。 一 个 网 络 管理 系统 首先 应 明确 其 具有 的 功能 。 
全 (2) 明确 网 络 资源 。 在 网 络 管理 中 ， 对 于 网 络 资源 的 管理 占有 很 大 一 部 分 比例 。 网 络 
资源 通常 被 定义 为 网 络 系统 的 软件 、 硬 件 及 所 提供 的 网 络 服务 和 信息 等 资源 。 由 此 ， 在 网 
络 管理 系统 中 只 有 明确 地 表示 网 络 资源 ， 才 能 对 它们 实施 管理 。 

(3) 表明 网 络 的 管理 信息 。 网 络 管理 系统 对 网 络 实施 管理 时 ， 必 须 依赖 系统 中 的 网 络 
管理 信息 ， 因 此 ， 在 设计 网 络 管理 系统 时 ， 必 须 解决 以 下 问题 。 

e ”如 何 表示 用 于 网 络 管理 的 信息 ? 

e ”如 何 传送 上 述 信息 ? 

@ ”传送 信息 中 使 用 何 种 协议 ? 

(4) 确定 网 络 管理 信息 的 结构 ， 即 使 用 什么 结构 的 网 络 管理 系统 对 网 络 实现 管理 。 

2) “网 络 管理 系统 的 基本 功能 

一 个 实用 的 网 络 管理 系统 应 当 包括 以 下 基本 的 网 络 管理 功能 。 

(1) 为 用 户 制定 、 设 置 和 实施 系统 的 授权 访问 策略 。 

(2) 为 用 户 制定 、 设 置 和 实施 共享 资源 的 授权 访问 策略 。 

(3) 能 够 收集 和 监控 网 络 中 各 种 设备 和 设施 的 工作 参数 ， 并 能 够 依据 这 些 信息 进行 处 
理 、 管 理 和 控制 。 


4. 网 络 管理 内 容 


目前 国际 标准 化 组 织 GSO) 在 网 络 管理 的 标准 化 上 做 了 许多 工作 ， 它 特别 定义 了 网 络 管 
理 的 5 个 功能 域 。 
e@ ”配置 管理 : 管理 所 有 的 网 络 设 备 ， 包 括 各 设备 参数 的 配置 与 设备 账目 的 管理 。 
e@ ”故障 管理 : 找 出 故障 的 位 置 并 进行 恢复 。 
e@ 人 性 能 管理 : 统计 网 络 的 使 用 状况 ， 根 据 网 络 的 使 用 情况 进行 扩充 ， 确 定 设置 的 规 
划 。 
安全 管理 :限制 非法 用 户 窍 取 或 修改 网 络 中 的 重要 数据 等 。 
计 费 管理 : 记录 用 户 使 用 网 络 资源 的 数据 ， 调 整 用 户 使 用 网 络 资源 的 配额 和 记 账 
收费 。 
1) 配置 管理 
配置 管理 的 目的 在 于 随时 了 解 系统 网 络 的 拓扑 结构 及 所 交换 的 信息 ， 包 括 连接 前 静态 
设 定 的 和 连接 后 动态 更 新 的 。 配置 管理 调用 客体 管理 功能 、 状 态 管理 功能 和 关系 管理 功能 。 
(1) 客体 管理 功能 。 客 体 管理 功能 为 管理 信息 系统 用 户 (MIS 用 户 ) 提 供 一 系列 功能 ， 
完成 被 管理 客体 的 产生 、 删 除 报告 和 属性 值 改变 的 报告 。 
(2) 状态 管理 功能 。 
@ 通用 状态 属性 : 指 客体 应 具有 的 操作 态 、 使 用 态 和 管理 态 3 种 通用 状态 属性 。 
加 ”状况 属性 : 定义 了 下 列 6 个 属性 以 限制 操作 态 、 使 用 态 和 管理 态 ， 表 示 应 用 于 资 
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源 的 特定 条 件 ， 包 括 告警 状况 属性 、 过 程 状况 属性 、 可 用 性 状况 属性 、 控 制 状况 属性 、 备 
份 状况 属性 、 未 知 状况 属性 。 

(3) 关系 管理 功能 。 管 理 者 需 有 检查 系统 不 同 部 件 间 和 不 同系 统 间 关系 的 能 力 ， 以 确 
定 系统 某 部 分 的 操作 如 何 依赖 于 其 他 部 分 或 如 何 被 依赖 。 用 户 需 有 能 力 改变 部 分 之 间 、 系 
统 之 间 以 及 系统 与 部 件 之 间 的 关系 ， 也 应 有 能 力 得 知 是 何 种 原因 导致 这 种 变化 。 

2) ”故障 管理 

故障 管理 的 目标 是 自动 监测 、 记 录 网 络 故障 并 通知 用 户 ， 以 便 网 络 有 效 地 运行 。 

故障 管理 包含 以 下 几 个 步骤 : Q@ 判 断 故 障 症状 ;，@ 隔 离 该 故障 ，@ 修 复 该 故障 ，@ 对 
所 有 重要 子 系统 的 故障 进行 修复 ，@@ 记 录 故 障 的 监测 及 其 结果 。 

3) ”性 能 管理 

性 能 管理 的 目标 是 衡量 和 呈现 网 络 性 能 的 各 个 方面 ， 使 人 们 可 以 在 一 个 可 接受 的 水 平 
上 维护 网 络 的 性 能 ， 性 能 变量 的 例子 有 网 络 吞 吐 量 、 用 户 响应 时 间 和 线路 利用 率 。 

性 能 管理 包含 以 下 几 个 步骤 。 

(1) 收集 网 络 管理 者 感 兴趣 的 变量 的 性 能 参数 。 

(2) 分 析 这 些 数据 ， 以 判断 是 否 处 于 正常 水 平 。 

(3) 为 每 个 重要 的 变量 决定 一 个 适合 的 性 能 阔 值 , 超过 该 阔 值 就 意味 着 网 络 出 现 故 障 。 

4) ”安全 管理 

安全 管理 的 目标 是 按照 本 地 的 指导 来 控制 对 网 络 资源 的 访问 ， 以 保证 网 络 不 被 侵害 ， 
并 保证 重要 信息 不 被 未 授权 的 用 户 访问 。 

安全 管理 子 系统 将 网 络 资源 分 为 授权 和 未 授权 两 大 类 。 它 执行 以 下 几 种 功能 。 

(1) 标识 重要 的 网 络 资源 。 

(2) 确定 重要 的 网 络 资源 和 用 户 集 间 的 映射 关系 。 

(3) 监视 对 重要 网 络 资源 的 访问 。 

(4) 记录 对 重要 网 络 资源 的 非法 访问 。 

5) 计 费 管理 

计 费 管理 的 目标 是 衡量 网 络 的 利用 率 , 以 便 一 个 或 一 组 用 户 可 以 按 规则 利用 网 络 资源 ， 
这 样 的 规则 使 网 络 故障 降低 到 最 小 ， 也 可 以 使 所 有 用 户 对 网 络 的 访问 更 加 公平 。 

为 了 达到 合理 的 计 费 管理 目的 ， 首 先 必 须 通过 性 能 管理 测量 出 所 有 重要 网 络 资源 的 利 
用 率 , 对 其 结果 的 分 析 使 得 对 当前 的 应 用 模式 具有 更 深入 的 了 解 ， 并 可 以 在 该 点 设置 定额 。 
对 资源 利用 率 的 测量 可 以 产生 计 费 信息 ， 并 产生 可 用 来 估价 费 率 的 信息 以 及 可 用 于 资源 利 
用 率 优化 的 信息 。 

5. 网 络 管理 系统 的 基本 模型 


公认 的 网 络 管理 系统 基本 模型 由 4 部 分 组 成 ， 即 多 个 被 管 代理 (Agent)、 至 少 一 个 网 络 
管理 者 或 称 管理 工作 站 、 一 种 通用 的 网 络 管理 协议 (CMIP 或 SNMP) 和 一 个 或 多 个 管理 信息 
库 (MIB)。 网 络 设备 、 计 算 机 主机 、 应 用 等 被 称 为 被 管 设备 ， 在 这 些 设备 上 驻 留 有 代理 ， 代 
理 实际 上 是 一 个 小 巧 的 应 用 程序 。 管 理 者 也 是 一 个 程序 ， 负 责 与 用 户 交互 ， 并 通过 代理 对 
设备 进行 管理 。 管 理 者 与 代理 通过 网 络 管理 协议 通信 。MIB 相当 于 一 个 数据 库 ， 提 供 有 关 
被 管 网 络 设备 的 信息 。 因 此 ， 网 络 管理 系统 的 模型 包含 以 下 4 个 基本 的 逻辑 部 分 。 


下 | GD 管理 对 象 指 网 络 中 具体 可 以 操作 的 参数 。 

机 | 。 @) 管理 进程 (Managen 指 对 网 络 中 的 设备 和 设施 进行 全 面 管理 和 控制 的 软件 程序 。 
网。 GG) MIB 指 记录 网 络 中 各 种 管理 对 象 的 信息 库 。 

售 | 。 (4) 管理 协议 (CMIP 或 SNMP) 用 于 在 管理 系统 与 管理 对 象 之 间 传 递 和 解释 操作 命令 。 


关 9.1.3 ”网 络 管理 协议 (SNMP) 


第 一 个 使 用 的 网 络 管理 (简称 网 管 ) 协 议 称 为 简单 网 络 管理 协议 (SNMP， 又 称 SNMP 第 
一 版 或 SNMPv1)，SNMP 是 由 因特网 工程 任务 组 (Intemet Engineering Task Force，IETF) 提 
| 出 的 面向 Intemet 的 管理 协议 ， 当 时 这 个 协议 被 认为 是 临时 的 、 简 单 的 、 解 决 当时 急需 解决 
的 问题 的 协议 ， 而 复杂 的 、 功 能 强大 的 网 络 管理 协议 需要 进一步 设计 。 

20 世纪 80 年 代 ， 在 SNMP 的 基础 上 设计 了 两 个 网 络 管理 协议 : 一 个 称 为 SNMP 第 二 
版 (简称 SNMPv2), 它 包 含 了 原 有 的 特性 ， 这些 特性 目前 被 广泛 使 用 , 同时 增加 了 很 多 新 特 
性 以 克服 原先 SNMP 的 缺陷 。 另 一 个 称 为 简单 网 关 监 控 协 议 (SGMP), 用 来 对 通信 线路 进行 
管理 。 

SNMP 的 管理 对 象 包括 网 桥 、 路 由 器 、 交 换 机 等 内 存 和 处 理 能 力 有 限 的 网 络 互 联 设备 。 
它 采 用 轮 询 监 控 方 式 ， 管 理 者 隔 一 定时 间 间 隔 向 代理 请 求 管理 信息 ， 管 理 者 根据 返回 的 管 
理 信息 判断 是 否 有 异常 事件 发 生 。 轮 询 监控 的 主要 优点 是 对 代理 资源 的 要 求 不 高 ， 缺 点 是 
管理 通信 的 开销 大 。 由 于 SNMP 的 简单 性 得 到 了 业界 广泛 的 支持 ， 成 为 目前 最 流行 的 网 络 
管理 协议 。 

1. SNMP 网 络 管理 模型 


SNMP 模型 的 体系 结构 如 图 9.1 所 示 。SNMP 网 络 管理 模型 是 由 以 下 前 3 个 基本 部 分 
再 加 上 SNMP 协议 组 成 的 。 

1) ”管理 进程 

管理 进程 是 一 个 或 一 组 软件 程序 , 它 一 般 运行 在 网 络 管理 站 或 网 络 管理 中 心 的 主机 上 。 
它 在 SNMP 协议 支持 下 命令 管理 代理 执行 各 种 管理 操作 。 管 理 进程 的 功能 是 完成 各 种 网 络 
管理 功能 ， 通 过 各 种 设备 中 的 管理 代理 实现 对 网 络 内 的 各 种 设备 、 设 施 和 资源 的 控制 。 另 
外 ， 管 理 人 员 还 可 以 通过 管理 进程 对 全 网 进行 管理 。 管 理 进程 可 以 通过 图 形 用 户 接口 ， 以 
容易 操作 的 方式 显示 各 种 网 络 信息 以 及 网 络 中 各 网 络 代 理 的 配置 图 等 。 有 时 ， 网 络 进程 也 
会 将 各 个 管理 代理 中 的 数据 集中 存储 ， 以 备 事后 分 析 。 

2) “管理 代理 

管理 代理 是 一 种 在 被 管理 的 网 络 设备 上 运行 的 软件 ， 负 责 执 行 管理 进程 的 管理 操作 。 
管理 代理 直接 操作 本 地 的 信息 库 MIB， 还 可 以 根据 要 求 改变 本 地 信息 库 或 将 数据 直接 传送 
给 管理 进程 。 管 理 代理 具有 两 个 基本 的 管理 功能 。 

(1) 读 取 MIB 中 各 种 变量 的 值 ， 这 里 的 变量 就 是 管理 对 象 。 

(2) 修改 MIB 中 各 种 变量 的 值 。 

3) MIB 

MIB 管理 信息 库 记录 管 理 对 象 的 各 种 信息 。 它 是 一 个 概念 上 的 数据 库 ， 由 各 个 管理 对 
象 组 成 ， 每 个 管理 代理 管理 MIB 中 属于 本 地 的 管理 对 象 ， 各 管理 代理 控制 的 管理 对 象 共同 
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构成 全 网 的 管理 信息 库 。 

4) ”管理 协议 

用 于 在 管理 系统 与 管理 对 象 之 间 传 递 和 解释 管理 操作 命令 的 SNMP 协议 。 许 多 网 络 管 
理 软件 要 求 所 管理 的 设备 支持 SNMP 协议 ， 如 果 不 支 持 ， 则 无 法 使 用 该 软件 实现 对 网 络 系 
统 设备 的 自动 识别 和 管理 功能 ， 如 HP 公司 的 OpenView 软件 。 


网 络 管理 员 
ess 


9.1 SNMP 网 络 管理 模型 的 结构 
2. 实际 网 络 管理 系统 的 组 成 


前 面 介绍 的 是 SNMP 网 络 管理 模型 的 结构 ， 而 实际 的 网 络 管理 系统 往往 有 所 区 别 。 比 
如 ， 实 际 的 网 络 管理 系统 的 组 成 如 图 9.2 所 示 ， 由 4 个 基本 部 分 组 成 。 


网 络 管理 员 


网 络 管理 软件 


1 
网 络 设备 网 络 设备 
管理 代理 | 管理 代理 


Te = = 


统 运行 网 络 系统 运行 网 络 
配置 信息 | | 状态 信息 | | 性 能 信息 | | 配置 信息 | | 状态 信息 | | 性 能 信息 


图 9.2 网 络 管理 系统 的 组 成 结构 


在 大 部 分 的 实际 网 络 管理 系统 中 ， 只 有 前 3 个 部 分 ， 因 此 这 3 个 部 分 是 基本 的 和 必需 
的 ， 而 并 非 所 有 的 网 络 都 有 “代理 设备 ”， 因此， 第 4 个 部 分 是 可 选 的 。 下 面 将 分 别 介绍 这 
几 个 基本 部 分 的 功能 和 工作 联系 。 

1) ”网 络 管理 软件 

网 络 管理 软件 简称 网 管 软件 ， 它 是 协助 网 络 管理 员 对 整个 网 络 或 网 络 中 的 设备 进行 日 
常 管理 工作 的 软件 。 网 络 管理 软件 除了 要 求 网 络 设备 的 “管理 代理 ”定期 采集 用 于 管理 的 


各 种 信息 外 ， 还 要 定期 查询 管理 代理 采集 到 的 与 主机 有 关 的 信息 ， 如 系统 配置 信息 、 运 行 
状态 信息 和 网 络 性 能 信息 等 。 网 管 软件 正 是 利用 这 些 信息 来 确定 和 判断 整个 网 络 、 网 络 中 
的 独立 设备 或 者 局 部 网 络 的 运行 状态 是 否 正常 。 

在 网 络 管理 系统 中 ， 网 络 管理 软件 是 连接 其 他 几 个 因素 的 桥梁 ， 因 此 占有 着 举足轻重 
的 地 位 。 它 的 功能 的 好 坏 将 直接 影响 到 整个 网 络 管理 系统 的 功能 。 

对 于 大 型 网 络 来 说 ， 网 络 规模 较 大 且 结 构 复杂 ， 一 旦 网 络 出 现 故障 ， 查 找 与 维护 都 很 
困难 。 因 此 ， 网 络 管理 软件 是 不 可 缺少 的 助手 。 而 对 于 小 型 网 络 或 个 人 用 户 来 说 ， 他 们 的 
技术 水 平 较 低 ， 聘 请 专业 技术 人 员 的 费用 又 太 高 ， 因 此 网 络 管理 软件 可 以 帮助 解决 一 些 刺 


| 手 的 问题 。 由 此 可 见 ， 网 络 管理 软件 已 经 成 为 各 种 网 络 中 必 不 可 少 的 组 成 部 分 。 


市 场 上 的 网 络 管理 软件 名 目 繁多 ， 因 此 选择 网 管 软件 已 成 为 很 多 用 户 关心 的 问题 。 选 
择 时 可 以 从 以 下 几 个 方面 进行 考虑 : ”与 自身 的 管理 规模 和 网 络 模式 (如 C/S) 相 适应 ; 具有 
智能 化 的 监视 能 力 ; 具有 基于 用 户 策略 的 控制 能 力 ; 具有 支持 多 协议 、 开 放 式 操作 系统 和 
第 三 方 管理 软件 的 能 力 ; 具有 良好 的 用 户 界 面 ; 具备 简单 的 、 无 须 编程 的 开发 工具 ; 具有 
良好 的 技术 支持 和 服务 ; 合适 的 性 能 价格 比 。 

2) 网络 设备 的 管理 代理 

网 络 设备 的 管理 代理 简称 管理 代理 ， 它 是 驻 留 在 网 络 设备 中 的 一 个 软件 模块 。 其 中 的 
网 络 设备 可 以 是 系统 中 的 网 络 计算 机 、 网 络 打印 设备 和 交换 机 等 。 网 络 设备 的 管理 代理 软 
件 能 够 获得 每 个 网 络 设备 的 各 种 信息 ， 如 设备 运行 状况 、 系 统 配置 、 设 备 特性 和 性 能 等 信 
息 。 因 此 ， 每 个 管理 代理 上 的 软件 就 像 被 管理 设备 的 代理 人 ， 它 可 以 完成 网 管 软件 所 布置 
的 信息 采集 任务 。 实 际 上 ， 它 充当 了 网 络 管理 系统 与 被 管理 设备 之 间 的 信息 中 介 。 管 理 代 
理 通 过 被 控制 设备 中 的 MIB 来 实现 管理 网 络 设 备 的 功能 。 

在 实际 应 用 中 ， 由 于 SNMP 协议 确立 了 不 同 设备 、 软 件 和 系统 之 间 通 信 的 基础 框架 。 
因此 ， 人 们 通常 选用 支持 SNMP 协议 的 网 络 设备 ， 如 选择 支持 SNMP 协议 的 服务 器 、 路 由 
器 、 交 换 机 和 集线器 等 。 这 样 驻 留 在 其 中 的 管理 代理 软件 就 具有 了 共同 语言 。 正 因为 有 了 
这 个 标准 语言 ， 网 络 设备 的 管理 代理 软件 才 可 以 将 网 络 管理 员 软 件 发 出 的 命令 按照 统一 的 
网 络 格式 进行 转化 ， 再 收集 需要 的 信息 ， 最 后 返回 正确 的 响应 信息 ， 从 而 实现 了 网 管 软件 
在 网 络 管理 系统 中 的 统一 网 络 管理 。 

3) “管理 信息 库 (MIB) 

如 前 所 述 ，MIB 定义 了 一 种 有 关 对 象 的 数据 库 ， 它 由 网 络 管理 系统 所 控制 。 整 个 MIB 
中 存储 了 多 个 (可 多 达 上 千 个 ) 对 象 的 各 种 信息 数据 。 网 管 软件 (在 SNMP 模型 中 又 称 管理 进 
程 ) 正 是 通过 控制 每 个 对 象 的 MIB 来 实现 对 该 网 络 设备 的 配置 、 控 制 和 监视 的 。 而 网 络 管 
理 员 使 用 的 网 络 管理 系统 可 以 通过 网 络 管理 的 代理 软件 (管理 代理 ) 来 控制 每 个 MIB 对 象 。 

4) ”代理 设备 

在 网 络 管理 系统 中 ， 代 理 设备 是 标准 的 网 络 协议 软件 和 不 支持 标准 协议 的 软件 之 间 的 
一 座 桥梁 。 利 用 代理 设备 ， 无 须 升 级 整个 网 络 管理 系统 即 可 实现 旧版 本 网 管 软件 到 新 版 本 
的 升级 。 例 如 ， 某 网 络 正在 使 用 的 是 支持 旧版 本 SNMP 协议 的 网 管 软件 ， 当 新 版 本 SNMP 
协议 开发 出 来 后 ， 如 果 直 接 升级 则 整个 网 络 中 所 有 的 现存 设备 都 会 受到 影响 ， 使 用 代理 设 
备 则 可 以 方便 地 解决 此 类 问题 。 注 意 ， 正 是 由 于 代理 设备 的 上 述 特殊 功能 ， 所 以 不 是 所 有 
的 网 络 管理 系统 中 都 有 这 种 设备 ， 也 就 是 说 ， 代 理 设 备 在 网 络 管理 系统 中 是 可 选 的 。 
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9.1.4 网 络 管理 工具 


由 于 网 络 管理 已 经 有 了 一 系列 的 标准 ， 以 及 OSI 定义 的 网 络 管理 五 大 功能 ， 使 得 具有 
配置 管理 、 性 能 管理 、 故 障 管理 、 安 全 管理 和 计 费 管理 五 大 功能 的 管理 系统 成 为 可 能 。 同 
时 ， 也 正 是 得 益 于 这 样 的 网 络 管理 系统 ， 才 能 对 网 络 进行 充分 、 完 备 和 有 序 的 管理 。 但 是 
由 于 涉及 众多 的 网 络 管理 协议 和 5 个 方面 所 要 求 的 功能 以 及 不 同 网 络 的 实际 情况 ， 使 得 网 
络 管理 系统 在 技术 上 具有 很 强 的 挑战 性 。 

网 络 管理 系统 是 对 以 上 几 个 基本 要 素 的 组 合 。 大 致 可 以 将 网 络 管理 系统 划分 为 3 代 。 

第 一 代 网 管 就 是 最 常用 的 命令 行 方式 ， 并 结合 一 些 简单 的 网 络 监测 工具 ， 它 不 仅 要 求 
使 用 者 精通 网 络 的 原理 及 概念 ， 还 要 求 使 用 者 了 解 不 同 厂商 的 不 同 网 络 设备 的 配置 方法 。 
这 种 方式 的 优点 是 具有 很 大 的 灵活 性 ;缺点 是 风险 系数 增 大 ， 容 易 引发 误 操 作 ， 而 且 不 具 
备 图 形 化 和 直观 性 ， 比 如 网 络 探测 工具 NetXray 可 以 运行 在 多 种 协议 之 下 ， 包 括 TCP/IP、 
SPX/IPX 等 ， 工 作 在 网 络 环境 的 底层 ， 拦 截 所 有 正在 网 络 上 传输 的 数据 并 进行 筛选 处 理 ， 
实时 分 析 网 络 状态 和 设备 布局 ， 但 第 一 代 网 管 工 具 只 能 统计 和 分 析 网 络 的 数据 ， 并 不 能 监 
控 设 备 的 状态 ， 因 此 需要 配合 一 系列 CLI 命令 直接 在 设备 上 查看 系统 和 端口 信息 。 

第 二 代 网 管 有 着 良好 的 图 形 化 界面 ， 用 户 无 须 过 多 了 解 设 备 的 配置 方法 ， 就 能 图 形 化 
地 对 多 台 设 备 同 时 进行 配置 和 监控 ， 大 大 提高 了 工作 效率 ， 但 仍然 存在 由 于 人 为 因素 造成 
的 设备 功能 使 用 不 全 面 或 不 正确 的 问题 ， 比 如 CiscoView 是 一 个 基于 GUI 的 设备 管理 软件 
应 用 程序 ， 可 以 图 形 的 方式 显示 Cisco 的 物理 视图 。 另 外 ， 它 还 提供 配置 和 监视 功能 以 及 
基本 的 故障 排除 功能 。 借 助 CiscoView 可 以 更 容易 地 理解 设备 提供 的 大 量 管理 数据 ， 网 络 
管理 员 无 须 对 远程 站 点 上 的 每 台 设 备 进行 物理 检测 就 能 够 全 面 查看 Cisco 产品 。 

第 三 代 网 管 相对 来 说 比较 智能 ， 是 真正 将 网 络 和 管理 进行 有 机 结合 的 软件 系统 ， 具 有 
“自动 配置 ”和 “自动 调整 ”功能 ， 对 网 管 人 员 来 说 ， 只 要 把 用 户 情况 、 设 备 情况 以 及 用 
户 与 网 络 资源 之 间 的 分 配 关系 输入 网 管 系统 ， 系 统 就 能 自动 地 建立 图 形 化 的 人 员 与 网 络 的 
配置 关系 ， 并 自动 鉴别 用 户 身份 ， 分 配 用 户 所 需 的 资源 (如 电子 邮件 、Web、 文 档 服 务 等 )， 
同时 ， 整 个 企业 的 网 络 安全 得 以 保证 ， 因 此 第 三 代 网 管 系统 是 企业 级 的 管理 平台 ， 由 多 个 
软件 包 构 成 , 涉及 OSI 的 7 层 协议 集 。 目前 第 三 代 系 统 可 选 的 范围 比较 广 , 如 CA Unicenter 
TNG、CiscoWorks2000、HP OpenView、IBM Tivoli、APRISMA Spectrum 等 。 这 些 网 管 软 
件 通 常 包括 一 系列 的 子 系统 ， 有 些 子 系统 具有 第 二 代 系 统 的 功能 ， 如 CiscoWorks 中 的 
CiscoView。 有 些 系统 集成 了 其 他 系统 的 一 些 子 系统 以 增强 功能 。 

虽然 网 管 系统 发 展 到 了 第 三 代 ， 但 并 不 等 于 前 两 代 系统 已 经 淘汰 ， 如 何 选择 在 于 用 户 
具体 的 网 络 管理 需求 ， 这 3 代 系 统 分 别 适 应 不 同 的 网 络 规模 和 网 络 应 用 ， 系 统 结构 越 是 趋 
同 ， 所 需要 的 网 管 系统 就 越 简单 。 而 复杂 的 异 构 环 境 则 需要 完全 成 熟 的 企业 管理 软件 。 

国内 网 管 软件 近 几 年 也 取得 一 定 的 发 展 ， 但 总 体 来 说 较 大 型 的 成 熟 的 软件 不 多 ， 国 产 
软件 的 优势 在 于 本 地 化 ， 用 户 对 界面 的 可 操作 性 强 ， 但 大 部 分 软件 只 相当 于 国外 第 三 代 网 
管 系统 中 的 某 个 子 系统 功能 ， 网 络 的 监控 功能 比较 强 ， 缺 乏 自动 解决 问题 和 管理 用 户 资 源 
的 能 力 ， 而 且 软 件 更 新 和 售后 服务 连贯 性 不 强 。 总 体 来 说 ， 目 前 国内 网 管 软件 比较 适用 于 
中 等 规模 企业 或 作为 大 型 网 管 系统 的 辅助 工具 。 

用 户 在 选 购 网 管 软件 时 ， 必 须 结 合 具体 的 网 络 条 件 ， 网 管 软件 用 于 辅助 日 常 网 络 管理 ， 


Q@_ 


以 提高 管理 效率 ， 所 以 选择 的 软件 应 该 体现 有 效 管 理 原则 。 目 前 市 场 销售 的 网 络 管理 软件 
可 以 按 功能 划分 为 网 元 管理 (主机 系统 和 网 络 设 备 )、 网 络 层 管理 (网 络 协议 的 使 用 、LAN 和 
WAN 技术 的 应 用 以 及 数据 链 路 的 选择 )、 应 用 层 管理 (应 用 软件 ) 个 层次 , 其 中 最 基础 的 是 网 
元 管理 ， 最 上 层 的 是 应 用 层 管理 。 

下 面 将 介绍 一 种 网 络 管理 系统 。 以 惠普 (HP) 公 司 的 OpenView 为 代表 ， 分 析 网 络 管理 
工具 的 特点 。 

HP 的 OpenView 有 争议 地 成 为 第 一 个 真正 兼容 的 、 跨 平台 的 网 络 管理 系统 ， 因 此 也 得 
到 了 广泛 的 市 场 应 用 。 但 是 ， 虽 然 OpenView 被 认为 是 一 个 企业 级 的 网 络 管理 系统 ， 但 它 


| 跟 大 多 数 别 的 网 络 管理 系统 一 样 ， 不 能 提供 NetWare、SNA、DECnet、x.25， 无 线 通信 交 


换 机 以 及 其 他 非 SNMP 设备 的 管理 功能 。 另 外 , HP 努力 使 OpenView 由 最 初 的 提供 给 第 三 
方 应 用 厂商 的 开发 系统 ， 转 变 为 一 个 跨 平台 的 最 终 用 户 产品 。 它 的 最 大 特点 是 被 第 三 方 应 
用 开发 厂商 所 广泛 接受 。 比 如 IBM 就 把 OpenView 增强 功能 并 扩展 成 为 自己 的 NetView 产 
品系 列 ， 从 而 与 OpenView 展开 竞争 。 特别 在 最 近 几 年 ，OpenView 已 经 成 为 网 络 管理 市 场 
的 领导 者 , 与 其 他 网 络 管理 系统 相 比 , OpenView 拥有 更 多 的 第 三 方 应 用 开发 厂商 。 在 近期 ， 
OpenView 看 上 去 更 像 一 个 工业 标准 的 网 络 管理 系统 。 


1. 网 络 监管 特性 


OpenView 不 能 处 理 因为 某 一 网 络 对 象 故障 而 误导 致 的 其 他 对 象 的 故障 。 具 体 说 来 就 
是 ， 它 不 具备 理解 所 有 网 络 对 象 在 网 络 中 相互 关系 的 能 力 ， 因 此 一 旦 这 些 网 络 对 象 中 的 一 
个 发 生 故 障 ， 导 致 其 他 正常 的 网 络 对 象 停止 响应 网 络 管理 系统 ， 它 会 把 这 些 正常 网 络 对 象 
当 作 故障 对 象 对 待 。 同 时 ，OpenView 也 不 能 把 服务 的 故障 与 设备 的 故障 区 分 开 来 ， 比 如 是 
服务 器 上 的 进程 出 了 问题 还 是 该 服务 器 出 了 问题 ， 它 不 能 区 分 。 这 些 是 OpenView 的 最 大 
弱点 。 

另外 ， 在 OpenView 中 ， 性 能 的 轮 询 与 状态 的 轮 询 是 截然 分 开 的 ， 这 样 导 致 一 个 网 络 
对 象 响 应 性 能 轮 询 失败 但 不 触发 一 个 报警 ， 仅 仅 只 有 当 该 对 象 不 响应 状态 的 轮 询 才 进 行 故 
障 报警 。 这 将 导致 故障 响应 时 间 的 延长 ， 当 然 两 种 轮 询 的 分 开 将 带 来 灵活 性 上 的 好 处 ， 第 
三 方 的 开发 商 可 以 对 不 同 轮 询 的 事件 分 别处 理 。 

OpenView 还 使 用 了 商业 化 的 关系 数据 库 , 这 使 得 利用 OpenView 采集 来 的 数据 开发 扩 
展 应 用 变 得 相对 容易 。 但 第 三 方 应 用 开发 厂商 需要 自己 找 地 方 存放 自己 的 数据 ， 这 又 限制 
了 这 些 数 据 的 共享 。 


2. 管理 特性 

OpenView 的 MIB 变量 浏览 器 相对 而 言 是 最 完善 的 , 而 且 正 常情 况 下 使 用 该 MIB 变量 
浏览 器 只 会 产生 很 少 的 流量 开销 。 但 OpenView 仍然 需要 更 多 、 更 简洁 的 故障 工具 以 应 对 
各 种 各 样 的 故障 与 问题 。 

3. 可 用 性 


OpenView 的 用 户 界面 显得 干净 且 相 对 灵活 ,但 在 功能 引导 上 显得 笨拙 ,同时 OpenView 
还 在 简单 、 易 用 的 Motif 的 图 形 用 户 界面 上 提供 状态 信息 和 网 络 拓扑 结构 图 形 ， 虽 然 这 些 
信息 和 图 形 在 大 多 数 网 络 管理 系统 中 都 提供 。 但 有 个 问题 是 OpenView 的 所 有 操作 (至 少 现 
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在 ) 都 在 X-Windows 界面 上 进行 , 它 还 缺乏 一 些 其 他 的 手段 , 比如 WWW 界面 和 字符 界面 ， 
同时 它 还 缺乏 开发 基于 其 他 界面 应 用 的 API。 


4. 总 结 


OpenView 是 一 个 昂贵 的 , 但 相对 够 用 的 网 络 管理 系统 , 它 提供 了 基本 层次 上 的 功能 需 
求 。 它 的 最 大 优势 在 于 它 被 第 三 方 开发 厂商 所 广泛 接受 。 但 得 到 了 NetView 许可 证 的 IBM 
已 经 加 强 并 扩展 了 OpenView 的 功能 ， 以 此 形成 了 IBM 自己 的 NetView/6000 产品 系列 ,该 
产品 可 以 在 很 大 程度 上 视 为 OpenView 的 一 种 替代 选择 。 


9.2 ”计算 机 网 络 维护 方法 


随 着 计算 机 的 广泛 应 用 和 网 络 的 流行 , 目前 单位 内 广大 职工 的 很 多 日 常 工 作 (包括 生产 
MIS、 电 力 营销 、 视 频 监控 、 集 群 录音 等 各 种 系统 ) 已 经 与 网 络 密 不 可 分 ， 计 算 机 网 络 系统 
就 是 利用 通信 设备 和 线路 将 地 理 位 置 不 同 的 、 功 能 独立 的 多 个 计算 机 系统 互联 起 来 ， 以 功 
能 完善 的 网 络 软件 (网 络 通 信 协 议 、 信 息 交换 方式 及 网 络 操作 系统 等 ) 实 现 网 络 中 资源 共享 
和 信息 传递 的 系统 。 它 的 主要 功能 表现 在 两 个 方面 : 一 是 实现 资源 共享 ， 包 括 硬件 资源 和 
软件 资源 的 共享 ， 二 是 在 用 户 之 间 交 换 信 息 。 因 此 ， 如 何 有 效 地 做 好 本 单位 计算 机 网 络 的 
日 常 维护 工作 ， 确 保 其 安全 、 稳 定 地 运行 ， 这 是 网 络 运行 维护 人 员 的 一 项 非常 重要 的 工作 。 


9.2.1 故障 定位 的 基本 思路 


在 排除 比较 复杂 网 络 的 故障 时 ， 常 常 要 从 多 种 角度 来 测试 和 分 析 故 障 的 现象 ， 准 确 确 
定 故 障 点 ， 在 实际 应 用 中 通常 采用 的 分 析 模型 和 方法 如 下 。 

(1) 7 层 的 网 络 结构 分 析 模 型 方法 。 从 网 络 的 7 层 结构 的 定义 和 功能 上 逐一 进行 分 析 
和 排查 ， 这 是 传统 的 且 最 基础 的 分 析 和 测试 方法 。 这 里 有 自 下 而 上 和 自 上 而 下 两 种 思路 。 
自 下 而 上 是 从 物理 层 的 链 路 开始 检测 直到 应 用 ， 自 上 而 下 是 从 应 用 协议 中 捕捉 数据 包 ， 分 
析 数 据 包 统 计 和 流量 统计 信息 ， 以 获得 有 价值 的 资料 。 

(2) 网 络 连接 结构 的 分 析 方法 。 从 网 络 的 连接 构成 来 看 ， 大 致 可 以 分 成 客户 端 、 网 络 
链 路 、 服 务 器 端 3 个 模块 。 

客户 端 具 备 网 络 的 7 层 结构 ， 也 会 出 现 从 硬件 到 软件 、 从 驱动 到 应 用 程序 、 从 设置 错 
误 到 病毒 等 的 故障 问题 。 所 以 在 分 析 和 测试 客户 端的 过 程 中 要 有 大 量 的 背景 知识 ， 有 时 PC 
发 烧 友 的 经 验 也 会 有 所 帮助 ， 也 可 以 在 实际 测试 过 程 中 询问 客户 端的 用 户 ， 分 析 他 们 反映 
的 问题 是 个 性 的 还 是 共性 的 ， 这 将 有 助 于 自己 对 客户 端的 进一步 检测 作出 决定 。 

来 自 网 络 链 路 的 问题 通常 需要 网 管 、 现 场 测 试 仪 ， 甚 至 需要 用 协议 分 析 仪 来 帮助 确定 
问题 的 性 质 和 原因 。 对 于 这 方面 的 问题 分 析 需 要 有 坚实 的 网 络 知识 和 实践 经 验 ， 有 时 实践 
经 验 会 决定 排除 故障 的 时 间 。 

在 分 析 服 务 器 端的 情况 时 更 需要 有 网 络 应 用 方面 的 丰富 知识 ， 要 了 解 服务 器 的 硬件 性 
能 及 配置 情况 、 系 统 性 能 及 配置 情况 、 网 络 应 用 及 对 服务 器 的 影响 情况 。 

工具 型 分 析 方 法 。 有 强大 的 各 种 测试 工具 和 软件 ， 它 们 的 自动 分 析 能 快速 地 给 出 网 络 
的 各 种 参数 甚至 是 故障 的 分 析 结果 ， 这 对 解决 常见 网 络 故障 非常 有 效 。 


综合 及 经 验 型 分 析 方 法 。 靠 时 间 、 错 误 和 成 功 经 验 的 积累 ， 在 大 多 数 的 网 络 维护 工作 
人 员 的 工作 中 是 采用 这 个 方法 的 ， 再 依靠 网 管 和 测试 工具 迅速 定位 网 络 的 故障 。 


9.2.2 计算 机 常见 故障 分 类 
1. 某 台 计算 机 上 不 了 网 


对 于 某 台 计算 机 上 不 了 网 的 故障 ， 首 先 要 分 别 确定 此 计算 机 的 网 卡 安装 是 否 正 确 ， 是 
否 存在 硬件 故障 ， 网 络 配置 是 否 正确 ， 如 在 实际 工作 中 一 般 采 用 Ping 192.168.131.1 来 判断 
网 卡 硬件 安装 和 TCP/IP 协议 的 正确 性 。 如 果 能 Ping 通 ， 即 说 明 这 部 分 没有 问题 。 如 果 出 
现 超时 情况 ， 则 要 检查 计算 机 的 网 卡 是 否 与 机 器 上 的 其 他 设备 存在 中 断 冲突 的 问题 。 通 过 
查看 系统 属性 中 的 设备 管理 器 ， 查 看 是 否 在 网 络 适 配器 的 设备 前 面 有 黄色 惊叹 号 或 红色 又 
号 ， 如 有 则 说 明 硬件 的 驱动 程序 没有 安装 成 功 ， 可 删除 后 重新 安装 。 另 外 ， 要 确保 TCP/IP 
协议 安装 的 正确 性 ， 并 且 要 绑 定 在 所 安装 的 网 卡 上 。 如 果 重 新 安装 后 还 是 Ping 不 通 回 送 地 
址 , 最 好 换 上 一 块 正常 的 网 卡 试 一 试 。 由 于 在 局 域 网 中 划分 了 VLAN, 所 以 连 在 不 同 VLAN 
中 的 计算 机 都 有 各 自 不 同 的 他 地 址 、 子 网 掩 码 和 网 关 。 要 在 机 器 的 网 络 属性 中 设 定 的 人 Pp 
地 址 等 数据 与 连接 的 VLAN 相 匹配 ; 否则 将 出 现 网 络 不 通 的 情况 。 当 确保 计算 机 的 硬件 设 
备 和 网 络 配 置 正确 后 ， 接 着 就 要 查看 计算 机 与 交换 机 之 间 的 双 绞 线 以 及 交换 机 的 RJ-45 端 
口 或 交换 机 的 配置 是 否 有 问题 。 此 时 要 Ping 上 网 计算 机 所 在 VLAN 的 网 关 , 不 通 的 话 就 要 
分 段 检查 上 面 所 说 的 各 项 ， 最 简单 的 方法 是 检查 双 绞 线 ， 用 线 缆 测 试 仪 检测 双 绞 线 是 否 断 
开 ， 若 双 绞 线 没有 问题 ， 就 要 查看 交换 机 的 端口 是 否 坏 了 。 交 换 机 每 一 个 端口 都 有 状态 指 
示 灯 ， 检 测 到 此 ， 如 果 端 口 指示 灯 不 亮 ， 就 只 能 是 端口 损坏 了 ， 可 以 把 跳 线 接 到 正常 使 用 
的 端口 上 排除 其 他 原因 ， 确 定 是 端口 的 问题 。 另 外 ， 还 有 交换 机 的 配置 问题 ， 只 有 极 少 的 
几 个 人 对 交换 机 的 配置 有 修改 权限 ， 所 以 询问 一 下 其 他 网 管 人 员 就 可 以 排除 了 ， 如 果 不 放 
心 可 以 对 照 查看 。 交 换 机 的 参数 配置 表 也 是 网 络 管理 员 必 备 的 资料 之 一 ， 并 且 随 着 网 络 用 
户 的 变化 要 不 断 地 修改 。 


2. 多 台 计 算 机 上 不 了 网 


对 于 同时 有 多 台 计 算 机 上 不 了 网 的 故障 ， 首 先 要 找到 这 些 计算 机 的 共性 ， 如 是 不 是 属 
于 同一 VLAN 或 接 在 同一 交换 机 上 的 ， 若 这 些 计 算 机 属于 同一 VLAN， 且 属于 计算 机 分 别 
连接 于 不 同 的 楼 层 交 换 机 ,那么 检查 一 下 路 由 器 上 是 否 有 AC1l 限制 ,在 路 由 器 上 对 该 VLAN 
的 配置 是 否 正确 ， 路 由 协议 是 否 配 置 正确 。 若 这 些 计算 机 属于 同一 交换 机 ， 则 应 到 机 房 检 
查 该 交换 机 是 否 有 电源 松 落 情况 , 或 该 交换 机 CPU 负载 率 是 否 很 高 ， 与 上 一 级 网 络 设备 的 
链 路 是 否 正常 ， 通 常 某 交 换 机 连接 的 所 有 计算 机 都 不 能 正常 与 网 内 其 他 计算 机 通信 ， 这 是 
典型 的 交换 机 死机 现象 ,可 以 通过 重新 启动 交换 机 的 方法 解决 。 如 果 重 新 启动 后 故障 依旧 ， 
则 检查 一 下 那 台 交换 机 连接 的 所 有 计算 机 ， 看 逐个 断 开 连接 的 每 台 计 算 机 的 情况 ， 慢 慢 定 
位 到 某 个 故障 计算 机 ， 会 发 现 多 半 是 某 台 计算 机 上 的 网 卡 故障 导致 的 ， 故 障 通常 是 交换 机 
的 某 个 端口 变 得 非常 缓慢 ， 最 后 导致 整 台 交换 机 或 整个 堆 琶 慢 下 来 ， 通 过 控制 台 检查 交换 
机 的 状态 ， 发 现 交换 机 的 缓冲 池 增 长 得 非常 快 ， 达 到 了 90% 或 更 多 ， 原 因 及 解决 方法 是 首 
先 应 该 使 用 其 他 计算 机 更 换 这 个 端口 上 原来 的 连接 ， 看 是 否 由 这 个 端口 连接 的 那 台 计算 机 
的 网 络 故 障 导 致 的 ， 也 可 以 重新 设置 出 错 的 端口 并 重新 启动 交换 机 ， 有 时 可 能 是 这 个 端口 
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损坏 了 。 

3. 链 路 问题 

当 链 路 是 光缆 时 ， 在 开通 新 的 网 络 时 ， 应 记录 光缆 的 收发 光 功 率 、 光 缆 长 度 和 芯 数 ， 
一 旦 出 现 问 题 应 重新 用 光 功 率 计 、OTDR 等 再 次 测试 , 并 与 原来 数据 进行 比较 后 及 时 修复 。 
若 链 路 是 网 线 ， 如 办 公 室 内 的 ， 则 可 通过 网 络 一 点 通 等 网 络 测试 仪 确定 办 公 室 至 交换 机 之 
间 的 哪 段 网 线 出 了 问题 。 


4. 机 柜 接地 问题 


机 柜 接 地 不 能 忽略 ,如 曾经 发 生 过 市 局 为 一 台 C2MFT G703 接口 模块 ,更 换 Cisco 6509， 
市 局 端 更 换 Cisco 3550 的 2M 的 连接 端口 ， 更 换 SDH 的 2M 链 路 均 无 效 的 事件 ， 最 终 在 县 
局 Cisco 6509 采 用 WIC IT 模块 加 外 接 协议 转换 器 , 网 络 互联 恢复 正常 准备 再 次 采用 VWIC 
2MFT G703 接口 模块 ， 在 拆 外 接 协 议 转 换 器 时 被 触 了 一 下 电 ， 再 仔细 查找 机 柜 的 接地 线 ， 
没有 找到 ， 给 机 柜 接 上 地 线 后 ， 再 采用 原来 设备 ， 一 切 恢复 正常 。 分 析 结 果 ， 外 接 协 议 转 
换 器 输出 信号 的 电压 较 高 ， 所 以 抗 干扰 能 力 强 ， 尽 管 没 有 接地 ， 但 因 无 接地 而 产生 的 干扰 
不 对 它 产生 影响 ， 所 以 网 络 互联 正常 。 而 Cisco 的 VWIC 2MFT G703 接口 模块 输出 信号 的 
电压 较 低 ， 和 无 接地 产生 的 干扰 差不多 ， 从 而 因 输 出 信号 遭 到 破坏 而 导致 SDH 2M 误 码 告 
警 ， 路 由 器 的 端口 不 断 up 和 down。 由 此 可 见 ， 机 柜 接 地 看 似 小 问题 ， 如 果 没 做 好 也 会 带 
来 很 大 的 麻烦 。 


9.2.3 故障 定位 及 排除 的 常用 方法 
1. 告警 性 能 分 析 法 


通过 网 管 获取 告警 和 性 能 信息 进行 故障 定位 。 例 如 ， 某 一 供电 局 使 用 了 BTTA 网 管 ， 
可 以 对 全 局 的 网 络 设备 进行 管理 , 平时 多 观察 各 设备 CPU 负载 率 和 各 线路 的 流量 ， 当 有 人 
反映 不 能 连接 至 网 络 或 网 速 很 慢 时 ， 可 通过 网 管 观 察 计算 机 与 交换 机 的 连接 情况 ， 是 否 有 
时 断 时 通 的 现象 ， 交 换 机 CPU 负载 率 是 否 很 高 ， 线 路 流量 是 否 很 大 ， 通 过 观察 设备 端口 状 
态 ， 分 析 和 观察 交换 机 哪个 端口 所 接 的 计算 机 发 包 量 不 太 正 常 。 


2. 替换 法 


替换 法 就 是 使 用 一 个 工作 正常 的 物体 去 蔡 换 一 个 工作 不 正常 的 物体 ， 从 而 达到 定位 故 
障 、 排 除 故障 的 目的 ， 这 里 的 物件 可 以 是 一 段 线 缆 、 一 个 设备 和 一 块 模块 。 


3. 配置 数据 分 析 法 
查询 、 分 析 当前 设备 的 配置 数据 ， 通 过 分 析 以 上 的 配置 数据 是 否 正常 来 定位 故障 ， 若 
配置 的 数据 有 错误 ， 需 进行 重新 配置 。 
9.2.4 ”计算 机 网 络 的 维护 
1. 维护 内 容 
计算 机 网 络 的 维护 内 容 包括 设备 、 链 路 、 电 源 和 配 线 架 等 附属 设备 的 维护 。 具 体 要 求 


计 
村 | 如 下 。 
机 (1) 保证 设备 工作 条 件 ， 包 括 供电 条 件 和 环境 条 件 等 。 
(2) 对 系统 故障 进行 判断 和 处 理 ， 根 据 故 障 现象 和 告警 指示 ， 利 用 网 管 及 各 种 测试 工 
信 | 有 具 进 行 故障 定位 ， 找 出 故障 原因 ， 在 最 短 时间 内 排除 故障 。 
(3) 通常 采用 集中 维护 方式 ， 将 维护 人 员 和 必要 的 维护 仪表 集中 在 一 个 主要 站 。 
全 (4) 经 常 检查 交换 机 与 路 由 器 中 的 端口 状态 ， 尤 其 需要 关注 端口 差错 统计 信息 ， 对 于 
出 错 包 特别 多 的 端口 ， 应 该 检查 其 是 交换 机 或 路 由 器 本 身 的 、 链 路 的 原因 ， 还 是 接 入 设备 
的 原因 ,交换 机 或 路 由 器 主要 查询 CPU 的 利用 率 和 MEM 的 利用 率 , 接 入 设备 若是 计算 机 ， 
| 则 主要 看 网 卡 的 设置 是 否 正 确 、 网 卡 的 驱动 程序 是 否 和 网 卡 相 匹 配 ， 查 出 原因 后 进行 整改 ， 
检查 完 后 对 端口 统计 信息 清 零 。 

(5) 链 路 若是 光缆 ， 则 主要 检查 现 有 衰 耗 和 投 运 时 的 衰 耗 差 ， 链 路 是 网 线 则 用 专用 仪 
器 进行 现场 测试 ， 光 纤 不 允许 小 角度 弯 折 ， 更 不 能 出 现 直角 。 

(6) 网 管 监控 系统 和 本 地 维护 终端 用 的 计算 机 是 专用 设备 ,禁止 挪用 ,以 免 病毒 侵害 。 

2. 对 维护 人 员 的 要 求 

(1) 对 运行 中 的 网 络 设备 在 进行 变更 设置 的 操作 时 ， 必 须 有 两 人 同时 在 场 方 可 进行 ， 
一 人 操作 ， 一 人 监护 ， 并 做 好 如 何在 操作 失败 而 导致 网 络 设备 异常 的 情况 下 的 处 理 预案 ， 
履行 必要 手续 。 

(2) 处 理光 接口 信号 时 ， 不 得 将 光 发 送 器 的 尾 纤 端面 或 上 面 活动 连 接 器 的 端面 对 着 眼 
睛 ， 并 注意 尾 纤 端面 和 连接 器 的 清洁 。 

(3) 熟练 掌握 所 维护 设备 的 基本 操作 。 

(4) 做 好 设备 的 日 常 巡 视 工 作 。 

(5) 对 外 来 人 员 ( 参 观 者 或 领导 ) 应 讲 明 道理 ， 关 照 他 请 勿 动手 。 

计算 机 网 络 建设 越 来 越 庞大 ， 且 组 网 方式 繁多 而 复杂 ， 自 然 就 加 大 了 维护 人 员 的 工作 
量 和 故障 定位 、 处 理 的 难度 ， 这 就 要 求 维护 人 员 必 须 不 断 提高 自身 的 业务 水 平和 处 理 故 障 
的 能 力 ， 同 时 要 针对 实际 情况 ， 把 以 上 的 定位 原则 和 处 理 方法 做 到 灵活 应 用 。 


9.3 ”Windows 自 带 的 网 络 工具 


随 着 网 络 技术 与 应 用 的 不 断 发 展 ， 计 算 机 网 络 在 人 们 的 日 常生 活 中 已 经 变 得 越 来 越 普 
及 。 特别 是 20 世纪 90 年 代 以 来 ， 随 着 Intemet 在 世界 范围 内 的 普及 ， 计 算 机 网 络 已 经 逐渐 
成 为 人 们 获取 信息 、 发 布 信息 的 重要 途径 。 与 此 同时 ， 基 于 计算 机 网 络 的 应 用 也 越 来 越 多 ， 
许多 人 们 生活 中 的 重要 环节 都 可 以 利用 网 络 方便 、 快 捷 地 实现 。 这 些 网 络 的 发 展 使 得 大 到 
国家 经 济 命脉 小 到 个 人 日 常生 活 严重 依赖 于 计算 机 网 络 ， 因 此 网 络 运行 的 稳定 性 、 可 靠 性 
就 显得 至 关 重 要 ， 于 是 网 络 维护 应 运 而 生 。 本 节 主 要 讨论 网 络 维护 的 相关 知识 。 

网 络 维护 是 计算 机 网 络 发 展 的 必然 产物 ， 它 随 着 计算 机 网 络 的 进步 而 发 展 。 早 期 的 计 
算 机 网 络 主要 是 局 域 网 ， 在 一 定 范围 内 连接 数 百 台 计 算 机 ， 因 此 最 早 的 网 络 维护 是 局 域 网 
维护 。 由 于 局 域 网 维护 主要 保证 在 局 域 网 内 的 所 有 计算 机 能 够 顺利 传递 和 共享 文件 ， 因 此 
早期 的 局 域 网 维护 与 网 络 操作 系统 密 不 可 分 。 而 Intemet 的 出 现 打 破 了 网 络 的 地 域 限 制 , 跨 


第 9 音 计算 机 网 络 管理 与 维护 技术 @@ 


地 域 的 广域网 络 得 到 飞速 发 展 ， 这 时 的 网 络 维护 不 再 局 限于 保证 文件 的 传输 ， 而 是 保障 连 
接 网 络 的 网 络 对 象 (路 由 器 、 交 换 机 、 线 路 等 ) 的 正常 运转 ， 同 时 监测 网 络 的 运行 性 能 ， 优 
化 网 络 的 拓扑 结构 。 因 此 网 络 维护 越 来 越 复杂 ， 功 能 也 越 来 越 完 备 ， 网 络 维护 已 发 展 成 为 
计算 机 网 络 中 的 一 个 重要 分 支 。 


9.3.1 Ping 命令 


Ping 用 于 确定 本 地 主机 是 否 能 与 另 一 台 主 机 交换 (发 送 与 接收 ) 数 据 包 。 根 据 返 回 的 信 
息 ， 可 以 推断 TCP/IP 参数 设置 是 否 正 确 ， 以 及 运行 是 否 正常 。 需 要 注意 的 是 ， 成 功 地 与 另 
一 台 主 机 进行 一 次 或 两 次 数据 包 交换 并 不 表示 TCP/IP 配置 是 正确 的 , 必须 执行 大 量 的 本 地 
主机 与 远程 主机 的 数据 包 交 换 ， 才 能 确定 TCP/IP 的 正确 性 。 

Ping 命令 是 Windows 中 集成 的 一 个 专用 于 TCP/IP 协议 的 探测 工具 。 应 用 TCP/IP 协 
议 的 局 域 网 或 广域网 ， 当 客户 端 与 客户 端 之 间 无 法 正常 进行 访问 或 者 网 络 工作 出 现 各 种 不 
稳定 的 情况 时 ， 建 议 要 先 试 试用 Ping 命令 来 确认 并 排除 问题 。 

1. Ping 命令 的 语法 格式 

Ping 命令 的 语法 格式 : 

Ping 目的 地 址 [-t] [-a] [-n count] [-1 size] [-w timeout] 

其 中 : 目的 地 址 是 指 被 测试 计算 机 的 耳 地 址 或 域名 。 


主要 参数 功能 说 明 : 
e -一 一 用 当前 主机 不 断 向 目的 主机 发 送 数据 包 ， 直 到 用 户 按 Ctrl+C 快捷 键 终止 。 
-a 一 一 解析 主机 地 址 。 


四 

e@ -ncount 一 一 发 出 的 测试 包 的 个 数 ， 默 认 值 为 4。 

@ -lsize 指定 发 送 数据 包 的 大 小 ， 默 认 值 为 32。 

@  -wtimeout 一 一 指定 超时 时 间 的 间隔 (单位 为 ms， 默认 值 为 1000)。 

通常 ， 使 用 较 多 的 参数 是 -t+、-n、-w。Ping 的 其 他 参数 ， 可 通过 在 DOS 的 提示 符 下 输 
入 Ping 或 Ping-? 命令 来 查看 相关 帮助 信息 。 

例如 :DOS 提示 符 下 或 在 Windows 开始 菜单 的 运行 中 输入 : 


Ping IP -t 


连续 对 卫 地 址 执行 Ping 命令 ， 直 到 被 用 户 以 按 Ctrl+C 快捷 键 中 断 。 


Ping IP -1 3000 


指定 Ping 命令 中 的 数据 包 长 度 为 3000B， 而 不 是 默认 的 32B。 


Ping IP -n 


执行 n 次 Ping 命令 。 

Ping 命令 用 来 检测 一 帧 数据 从 本 地 传送 到 目的 主机 所 需 的 时 间 。 它 通过 发 送 一 些小 的 
数据 包 并 接收 应 答 信息 来 确定 两 台 计算 机 之 间 的 网 络 连接 情况 。 

如 果 执 行 Ping 不 成 功 ， 则 可 以 预测 故障 出 在 以 下 几 个 方面 : 

G@ 网 线 没 有 连通 。 


他。 @ ”网络 适配器 配置 不 正确 。 
机 | 国王 地 址 不 可 用 。 


内 如 果 Ping 程序 成 功 返 回 而 网 络 仍 无 法 使 用 , 那么 问题 很 可 能 出 在 网 络 系统 的 软件 配置 
信 | 方面 。Ping 成 功 只 能 保证 本 地 与 目的 主机 存在 一 条 连通 的 物理 途径 。 
【 例 9.1】 检查 网 络 服务 器 和 任意 一 台 客 户 端 上 TCP/IP 协议 的 工作 情况 。 
会 | 在 网 络 中 其 他 任何 一 台 计 算 机 上 Ping 该 计算 机 的 JP 地 址 即 可 。 
在 DOS 命令 提示 符 下 输入 : 


Ping 192.192.225.225 


如 果 TCP/IP 协议 工作 正常 会 以 DOS 屏幕 方式 显示 以 下 所 示 的 信息 : 


Pinging 192.192.225.225 with 32 bytes of data: 

Reply from 192.192.225.225:bytes=32 time=lms TTL=128 
Reply from 192.192.225.225:bytes=32 time<lms TTL=128 
Reply from 192.192.225.225:bytes=32 time<lms TTL=128 
Reply from 192.192.225.225:bytes=32 time<lms TTL=128 


Ping statistice for 192.192.225.225: 
Packets:Sent=4,Received =4,Lost =0(0% loss) 
Approximate round trip times in milli-seconds: 
Minimum=0ms, Maximum=1ms, Average=0ms 


以 上 返回 了 4 个 测试 数据 包 ， 其 中 bytes=32 表示 测试 中 发 送 的 数据 包 大 小 是 32B， 
time<lms 表示 与 对 方 主机 往返 一 次 所 用 的 时 间 小 于 lms，TTL=128 表示 当前 测试 使 用 的 
TTL(Time To Live) 值 为 128( 系 统 默认 值 )。 

按照 默认 设置 ，Windows 上 运行 的 Ping 命令 发 送 4 个 ICMP( 网 间 控制 报 文 协议 ) 回 送 
请 求 ， 每 个 32 B 数据 ， 如 果 一 切 正常 ， 应 能 得 到 4 个 回 送 应 答 。 

Ping 能 够 以 ms 为 单位 显示 发 送 回 送 请 求 到 返回 回 送 应 答 之 间 的 时 间 。 如 果 应 答 时 间 
短 , 表示 数据 包 不 必 通 过 太 多 的 路 由 器 或 网 络 连接 速度 比较 快 。Ping 还 能 显示 TTL(Time To 
Live， 存 在 时 间 ) 值 ， 可 以 通过 TTL 值 推算 数据 包 已 经 通过 了 多 少 个 路 由 器 ， 源 地 点 TTL 
起 始 值 (就 是 比 返回 TIL 略 大 的 一 个 2 的 乘 方 数 ) 返 回 时 TTL 值 。 例 如 , 返回 TTL 值 为 119， 
那么 可 以 推算 数据 包 离开 源 地 址 的 TTL 起 始 值 为 128， 而 源 地 点 到 目标 地 点 要 通过 9 个 路 
由 器 网 段 (128 一 119);， 如 果 返 回 TTL 值 为 246，TTL 起 始 值 就 是 256, 源 地 点 到 目标 地 点 要 
通过 9 个 路 由 器 网 段 。 

如 果 网 络 有 问题 ， 则 返回 以 下 响应 失败 信息 : 

Pinging 192.192.225.225 with 32 bytes of data 

Request timed out. 

Request timed out. 

Request timed out. 

Request timed out. 

Ping statistice for 192.192.225.225: 

Packets: Sent=4,Received =0,Lost=4(100% loss), 

Approximate round trip times in milli-seconds 

Minimum=0ms, Maximum=0ms, Average=0ms 


第 9 章 计算 机 网 络 管理 与 维护 技术 介 全国 


出 现 此 种 情况 时 , 就 要 仔细 分 析 一 下 网 络 故障 出 现 的 原因 和 可 能 有 问题 的 网 上 节点 了 ， 
建议 从 以 下 几 个 方面 来 着 手 排查 。 

Q@ 检查 计算 机 是 否 已 安装 了 TCP/IP 协议。 

@ 检查 计算 机 的 网 卡 安装 是 否 正 确 且 是 否 已 经 连通 。 

@ ”检查 计算 机 的 TCP/IP 协议 是 否 与 网 卡 有 效 地 绑 定 (具体 方法 是 通过 选择 【开始 】| 
【设置 】|【 控 制 面板 | 网 络 】 来 查看 )。 

@ 检查 Windows 服务 器 的 网 络 服务 功能 是 否 已 启动 (可 通过 选择 【开始 】| 【设置 】| 
【控制 面板 】| 【服务 】， 在 出 现 的 对 话 框 中 找到 “Server” 一 项 ， 看 “状态 ”下 所 显示 的 
是 否 为 “已 启动 ”)。 

如 果 通 过 以 上 4 个 步骤 的 检查 还 没有 发 现 问题 的 症结 , 应 重新 安装 并 设置 TCP/IP 协议 ; 
如 果 是 TCP/IP 协议 的 问题 ， 可 以 彻底 解决 问题 。 

按照 上 述 方法 ， 还 可 以 用 Ping 命令 来 检查 任意 一 台 客 户 端 计算 机 上 TCP/IP 的 工作 情 
况 。 例 如 ， 要 检查 网 络 任 一 客户 端 “机 房 01” 上 的 TCP/IP 协议 的 配置 和 工作 情况 ， 可 直 
接 在 该 台 机 器 上 Ping 本 机 的 人 P 地 址 ， 若 返回 成 功 的 信息 ， 说 明 人 P 地 址 配置 无 误 ， 若 失败 
则 应 检查 他 地 址 的 配置 。 

可 通过 以 下 步骤 进行 : 

首先 检查 整个 网 络 ， 重 点 检查 该 卫 地 址 是 否 正在 被 其 他 用 户 使 用 ， 再 检查 该 工作 站 是 
否 已 正确 连 入 网 络 (很 多 情况 下 用 户 没有 登录 网 络 也 会 出 现 此 种 情况 )。 最 后 检查 网 卡 的 V0 
地 址 、IRQ 值 和 DMA 值 是 否 与 其 他 设备 发 生 冲 突 。 其 中 最 后 一 项 的 检查 非常 重要 ， 也 党 
被 许多 用 户 所 忽视 ， 即 使 是 Ping 成 功 后 也 要 进行 此 项 的 检查 。 因 为 当 Ping 本 机 的 卫 地 址 
成 功 后 ， 仅 表明 本 机 的 人 P 地 址 配置 没有 问题 ， 但 并 不 能 说 明 网 卡 的 配置 完全 正确 。 这 时 虽 
然 在 本 机 的 “网 上 邻居 ”中 能 够 看 到 本 机 的 计算 机 名 ， 可 无 法 与 其 他 的 用 户 连 通 ， 问 题 往 
往 就 出 在 网 卡 上 。 

如 果 在 Windows 【开始 】|【 运 行 】 命 令 的 对 话 框 中 输入 Ping 命令 ,命令 能 够 执行 ， 但 
上 述 显示 结果 后 关闭 显示 窗口 。 在 Windows 的 【开始 】|【 运 行 】 命 令 的 对 话 框 中 执行 Ping 
命令 应 加 -t 参数 ， 表 示 连 续 对 卫 地 址 执行 Ping 命令 ， 直 到 被 用 户 按 Ctrl+C 快捷 键 中 断 。 

【 例 9.2】 检查 本 机 与 某 网 址 的 正常 通信 情况 。 

在 DOS 命令 提示 符 下 输入 : 


Ping www.263.net 
DOS 屏幕 显示 以 下 所 示 的 信息 : 


Pinging www.263.net[211.100.31.131] with 32 bytes of data: 
Reply from 211.100.31.131: bytes=32 time=50ms TTL=243 
Reply from 211.100.31.131: bytes=32 time=60ms TTL=243 
Request timed out. 

Reply from 211.100.31.131: bytes=32 time=50ms TTL=243 

Ping statistics for 211.100.31.131: 

Packets: Sent=4, Received=3, Lost: 1(25%]loss), 

Approximate round trip times in mili-seconds: 

Minimum=50ms, Maximum=60ms, Average=53ms 


从 上 面 的 返回 结果 可 以 知道 ， 向 www.263.net( 其 卫 为 211.100.31.131) 发 送 的 4 个 大 小 
为 32B 的 测试 数据 包 中 ， 有 3 个 得 到 了 服务 器 的 正常 响应 (Reply from...)， 另 一 个 响应 超时 
(Request timed oub)。 平 均 每 个 数据 包 自 发 送 到 收 到 服务 器 响应 的 时 间 间 隔 为 56ms( 最 小 为 
50ms， 最 大 为 60ms)。 

这 一 结果 显示 ,本 机 到 www.263.net 的 网 速 较 快 (平均 响应 时 间 短 ), 但 是 网 络 可 能 不 大 
稳定 (丢失 了 一 个 数据 包 )。 

【 例 9.3】 检查 本 机 与 某 网 址 的 通信 异常 情况 。 

在 DOS 命令 提示 符 下 输入 : 

Ping 202.11.89.118 

Pinging 202.112.89.118 with 32 bytes of data: 

Request timed out . 

Request timed out . 

Request timed out . 

Request timed out . 

Ping statistics for 202.112.89.118 

Packets: Sent=4, Received=0, Lost=4(100%]loss), 

Approximate round trip times in milli-seconds: 

Minimum=0ms, Maximum=0ms, Average=0ms 


例 9.3 中 4 个 测试 数据 包 均 超时 ， 说 明 本 机 很 可 能 无 法 与 202.112.89.118 通信 。 

但 是 也 存在 例外 情况 ， 即 Ping 不 连通 但 实际 网 络 是 连通 的 。 这 是 因为 Ping 命令 用 来 
检测 最 基本 的 网 络 连接 情况 ， 它 所 使 用 的 数据 包 为 TCP/IP 协议 族 最 基本 的 ICMP 包 。 但 是 
某 些 操作 系统 (尤其 是 Windows) 存 在 缺陷 ， 面 对 对 方 发 送 过 来 的 大 的 ICMP 包 ， 或 者 数量 
巨大 的 碎 小 的 ICMP 包 ， 无 法 正常 处 理 ， 可 能 导致 网 络 堵塞 、 瘫 病 ， 甚 至 整个 系统 月 省、 
死机 。 目 前 的 网 络 防火 墙 对 发 来 的 ICMP 包 不 做 任何 处 理 ， 应 直接 抛弃 。 在 Ping 装 有 这 样 
的 防火 墙 的 主机 时 ， 将 被 告知 “Request time out”， 其 实 这 并 不 是 网 络 不 通 。 

【 例 9.4】 某 一 网 站 的 网 页 无 法 访问 的 情况 。 

在 DOS 命令 提示 符 下 输入 : 

Ping noabcd.com 

Unknown host noabcd .com. 


这 一 结果 显示 域名 noabcd .com 不 存在 。 

Ping 命令 不 仅 在 局 域 网 中 广泛 使 用 ， 在 Intermet 中 也 经 常 使 用 它 来 探测 网 络 的 远程 连 
接 情 况 。 当 遇 到 以 下 两 种 情况 时 ， 需 要 利用 Ping 工具 对 网 络 的 连通 性 进行 测试 。 比 如 当 某 
一 网 站 的 网 页 无 法 访问 时 ， 可 使 用 Ping 命令 进行 检测 。 如 果 返 回 类 似 于 Pinging ns. 
rising.com.cn with 32 bytes of data:.… 的 信息 ， 说 明 对 方 的 主机 已 打开 ,相反 则 表明 在 网 络 连 
接 的 某 个 环节 出 现 故 障 ， 或 对 方 的 主机 未 打开 。 另 外 ， 在 发 送 E-mail 之 前 也 可 以 先 测 试 一 
下 网 络 的 连通 性 ,许多 用 户 在 发 送 E-mail 后 经 常 收 到 诸如 Retumed mail:User unknown 的 信 
息 ， 这 说 明 邮件 未 发 送 到 目的 地 。 要 想 避 免 此 类 事件 再 次 发 生 ， 建 议 发 送 E-mail 之 前 先 养 
成 Ping 对 方 邮件 服务 器 地 址 的 习惯 。 例 如 ， 当 给 fpk@***.net 发 送 邮 件 时 ， 可 先 输入 Ping 
###net 进行 测试 ， 如 果 返 回 类 似 于 Bad IP address cniti.com 或 Request times out 的 信息 ， 说 
明 对 方 的 主机 未 打开 或 网 络 未 连通 。 这 时 即使 将 邮件 发 出 去 ， 对 方 也 无 法 收 到 。 
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2. 通过 Ping 检测 网 络 故障 的 典型 次 序 


正常 情况 下 ， 当 使 用 Ping 命令 来 查找 问题 所 在 或 检验 网 络 运行 情况 时 ， 需 要 使 用 许多 
Ping 命令 ， 如 果 运 行 正确 ， 就 可 以 相信 基本 的 连通 性 和 配置 参数 没有 问题 ， 如 果菜 些 Ping 
命令 出 现 运行 故障 ， 它 也 可 以 指明 到 何 处 去 查找 问题 。 

下 面 给 出 一 个 典型 的 检测 次 序 及 对 应 的 可 能 故障 。 

1) Ping 127.0.0.1 

验证 本 机 TCP/IP 协议 是 否 安装 好 。 

如 出 现 以 下 显示 ， 则 表示 本 机 TCP/IP 协议 安装 完好 : 


Pinging 127.0.0.1 with 32 bytes of data: 

Reply from 127.0.0.1: bytes=32 time<10ms TTL=128 
Reply from 127.0.0.1: bytes=32 time<10ms TTL=128 
Reply from 127.0.0.1: bytes=32 time<10ms TTL=128 
Reply from 127.0.0.1: bytes=32 time<10ms TTL=128 
Ping statistics for 127.0.0.1: 

Packets: Sent = 4, Received = 4, Lost = 0 (0% loss) 
Approximate round trip times in milli-seconds: 
Minimum = Oms, Maximum = Oms, Average = Oms 


否则 如 出 现 以 下 显示 , 则 表示 本 机 TCP/IP 协议 安装 不 完整 , 请 重新 添加 TCP/IP 协议 : 


Pinging 127.0.0.1 with 32 bytes of data: 

Request timed out. 

Request timed out. 

Request timed out. 

Request timed out 

Ping statistics for 127.0.0.1: 

Packets: Sent = 4, Received = 0, Lost = 4 (100% loss), 
Approximate round trip times in milli-seconds: 
Minimum = Oms, Maximum = Oms, Average = 0ms 


2) Ping 本 机 卫 
验证 本 机 他 地 址 是 否 配置 完成 或 者 网 卡 物理 属性 是 否 完好 。 
如 出 现 以 下 显示 ， 则 表示 本 机 人 P 地 址 已 配置 好 且 网 卡 物理 属性 完好 : 


Pinging 202.201.14.55 with 32 bytes of data: 

Reply from 202.201.14.55: bytes=32 time<10ms TTL=128 
Reply from 202.201.14.55: bytes=32 time<10ms TTL=128 
Reply from 202.201.14.55: bytes=32 time<10ms TTL=128 
Reply from 202.201.14.55: bytes=32 time<10ms TTL=128 
Ping statistics for 202.201.14.55: 

Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), 
Approximate round trip times in milli-seconds: 
Minimum = Oms, Maximum = Oms, Average = 0ms 


否则 如 出 现 “Request timed out.”， 则 表示 本 机 卫 地 址 未 配置 好 或 网 卡 物理 属性 不 好 ， 
请 配置 好 卫 地 址 ， 如 果 还 有 问题 请 更 换 网 卡 或 重新 安装 网 卡 驱动 程序 。 


3) Ping 局 域 网 内 其 他 人 P 

命令 经 过 网 卡 及 网 络 电缆 到 达 其 他 计算 机 ， 再 返回 。 收 到 回 送 应 答 表 明 本 地 网 络 中 的 
网 卡 和 载体 运行 正确 。 但 如 果 收 到 0 个 回 送 应 答 ， 那 么 表示 子 网 掩 码 (进行 子 网 分 割 时 ， 将 
JP 地 址 的 网 络 部 分 与 主机 部 分 分 开 的 代码 ) 不 正确 ， 或 网 卡 配 置 错 误 或 电缆 系统 有 问题 。 

4) ”Ping 网 关 卫 

验证 本 机 到 网 关 的 物理 线路 是 否 连通 。 

如 显示 “Reply from.….”, 则 表示 本 机 到 网 关 物 理 线路 连通 性 完好 ; 如 显示 “Request timed 
out.”， 则 表示 本 机 到 网 关 物 理 线路 连通 性 有 故障 ， 请 联系 网 管 解决 。 

5) ”Ping 远程 全 

如 果 收 到 4 个 应 答 ， 表 示 成 功 地 使 用 了 默认 网 关 。 对 于 拨号 上 网 用 户 则 表示 能 够 成 功 
地 访问 Intemet( 但 不 排除 ISP 的 DNS 会 有 问题 )。 

6) Ping localhost 

localhost 是 系统 的 网 络 保留 名 ， 也 是 127.0.0.1 的 别名 ， 每 台 计 算 机 都 应 该 能 够 将 该 名 
字 转 换 成 该 地 址 。 如 果 没 有 做 到 ， 则 表示 主机 文件 中 存在 问题 。 

7) ”Ping www.xxx.com( 如 www.yesky.com 天 极 网 ) 

对 域名 执行 Ping www.xxx.com 地 址 ， 通 常 是 通过 DNS 服务 器 ， 如 果 这 里 出 现 故 障 ， 
则 表示 DNS 服务 器 的 IP 地 址 配置 不 正确 或 DNS 服务 器 有 故障 (对 于 拨号 上 网 的 用 户 ， 某 
些 ISP 已 经 不 需要 设置 DNS 服务 器 了 )。 也 可 以 利用 该 命令 实现 域名 对 IP 地 址 的 转换 功能 。 

如 果 上 面 所 列 出 的 所 有 Ping 命令 都 能 正常 运行 ,那么 本 地 计算 机 进行 本 地 和 远程 通信 
的 功能 基本 上 就 可 以 放心 了 。 但 是 ,这 些 命令 的 成 功 并 不 表示 所 有 的 网 络 配置 都 没有 问题 ， 
如 某 些 子 网 掩 码 错误 就 可 能 无 法 用 这 些 方 法 检测 到 。 


9.3.2 1Ipconfig/Winipcfg 命令 


Winipcfg 和 Ipconfig 都 是 用 来 显示 主机 内 卫 协议 的 配置 信息 。 只 是 Winipcfg 适用 于 
Windows 9X/Windows Me， 而 Ipconfig 适用 于 Windows NT/2000/XP。 
利用 Ipconfig 和 Winipcfg 命令 可 以 查看 和 修改 网 络 中 的 TCP/IP 协议 的 有 关 配 置 ， 如 
卫 地 址 、 网 关 、 子 网 掩 码 等 ， 还 可 以 查看 与 主机 相关 的 信息 ， 如 主机 名 、DNS 服务 器 、 节 
点 类 型 等 。 其 中 网 络 适配器 的 物理 地 址 在 检测 网 络 错误 时 非常 有 用 。 这 两 个 工具 功能 基本 
相同 ， 只 是 Ipconfig 是 以 DOS 的 字符 形式 显示 ， 而 Winipcfg 则 用 图 形 界面 显示 。 
1. Ilpconfig 命令 
语法 格式 : 
Ipconfig[/alll] [/batch file] [/renew all] [/release all] [/renewn] [/releasenl] 
主要 参数 功能 说 明 如 下 : 
@ ”all， 显 示 与 TCP/IP 协议 相关 的 所 有 细节 信息 ， 其 中 包括 测试 的 主机 名 、 卫 地 址 、 
子 网 掩 码 、 节 点 类 型 、 是 否 启用 他 路由、 网卡 的 物理 地 址 及 默认 网 关 等 。 
当 使 用 all 选项 时 ，Ipconfig 能 为 DNS 和 WINS 服务 器 显示 必需 的 附加 信息 (如 下 
地 址 等 )， 并 且 显 示 本 地 网 卡 的 物理 地 址 (MAC)。 如 果 人 P 地 址 是 从 DHCP 服务 器 
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租用 的 ，Ipconfig 将 显示 DHCP 服务 器 的 他 地 址 和 租用 地 址 预计 失效 的 日 期 。 

@ “batch file， 将 测试 的 结果 存 入 指定 的 file 文件 ， 以 便 逐 项 查看 ， 如 果 省 略 file 文件 
名 ， 则 系统 会 把 该 测试 的 结果 保存 在 系统 的 Winipcfg.out 文件 中 。 
renew all， 更 新 全 部 适配器 的 通信 配置 情况 ， 所 有 测试 重新 开始 。 
release all， 释 放 全 部 适配器 的 通信 配置 情况 。 
发 布 当前 的 DHCP 配置 。 该 选项 禁用 本 地 系统 上 的 TCP/IP， 并 只 在 DHCP 客户 
端 上 可 用 。 可 输入 使 用 不 带 参 数 的 Ipconfig 命令 显示 的 适配器 名 称 。 

@ renew n， 更 新 第 n 号 适配器 的 通信 配置 情况 ， 所 有 测试 重新 开始 。 

@ releasen， 释 放 第 n 号 适配器 的 通信 配置 情况 。 

如 果 没 有 参数 ， 那 么 Ipconfig 实用 程序 将 向 用 户 提供 所 有 当前 的 TCP/IP 配置 值 , 包 

括 人 P 地 址 和 子 网 掩 码 。 
【 例 9.5】 更 新 0 号 适配器 的 卫 。 
在 DOS 命令 提示 符 下 输入 : 


Ipconfig /renew 0 


【 例 9.6】 显示 本 地 卫 配 置 的 详细 信息 。 
在 DOS 命令 提示 符 下 输入 : 


Ipconfig / all 
显示 结果 如 下 : 


Windows 2000 IP Configuration 

Host Name.........: WhatEver 

Primary DNS Suffix.......: 

Node Type.……。.: Hybrid 

IP Routing Enabled.…….: No 

WINS Proxy Enabled..........: No 

Ethernet adapter 本 地 连接 : 
Connection -specific DNS Suffix . : 


Description.- : Realtek RTL8139/810X Family PCI Fast Ethernet NIC 
Physical Rddress.……: 00-E0-4C-3A-28-E9 
DHCP Enabled...n: NO 


IP Address... 162.105.81.179 
Subnet Mask. i 
Default Gateway.......: 162.105.81.1 
DNS Serverses 202:112.1.12 

202 T12113 


2. Winipcfg 命令 
Winipcfg 工具 的 功能 与 pconfig 基本 相同 ， 只 是 Winipcfg 是 以 图 形 界面 的 方式 显示 ， 
在 操作 上 更 加 方便 。 当 用 户 需要 查看 任何 一 台 机 器 上 TCP/IP 协议 的 配置 情况 时 ， 只 需 在 


Windows 9X/Windows Me 上 选择 【开始 】| 人 运行】 命令， 在 打开 的 对 话 框 中 输入 命令 
Winipcfg， 将 出 现 如 图 9.3 所 示 卫 配置 对 话 框 。 


轩 !r 配置 EE 


| 
全 部 释放 | 全 部 更 新 如 | 详细 信息 如 | 


9.3 ”IP 配置 对 话 框 


图 9.3 中 显示 了 网 卡 类 型 、 网 卡 的 物理 地 址 、 主 机 的 卫 地 址 、 子 网 掩 码 、 路 由 器 的 地 
址 ， 如 果 用 户 想 更 详细 地 了 解 该 主机 的 其 他 卫 协议 配置 信息 ， 如 DNS 服务 器 、DHCP 服 
务 器 等 方面 的 信息 ， 可 以 直接 单 击 该 界面 中 的 详细 信息 按钮 ， 在 随后 出 现 的 对 话 框 中 查看 
和 改变 TCP/IP 的 有 关 配 置 参 数 。 当 一 台 机 器 上 安装 有 多 个 网 卡 时 , 还 可 以 查找 到 每 个 网 卡 
的 物理 地 址 和 有 关 协 议 的 绑 定 情况 等 。 


3. Ilpconfig/Winipcfg 的 应 用 


(1) 查找 目标 主机 的 他 地 址 及 其 他 有 关 TCP/PP 协议 的 信息 。 

选择 【开始 】| 【运行 】 命 令 ， 打开 【运行 】 对 话 框 ， 输 入 Winipcfg 命令 ， 就 会 出 现 一 
个 也 配置 对 话 框 ， 会 显示 有 关 目 前 网 络 IP 的 一 些 详细 设置 数据 。 

也 可 以 在 MS-DOS 模式 下 ， 输 入 Ipconfig 命令 ,在 DOS 窗口 下 显示 详细 的 IP 信息 。 

(2) Ipconfig/Winipcfg 是 一 款 网 络 侦察 利器 ， 尤 其 当 用 户 的 网 络 中 设置 的 是 DHCP( 动 
态 全 地 址 配置 协议 ) 时 ， 利 用 Ipconfig/Winipcfg 可 以 很 方便 地 了 解 到 IP 地 址 的 实际 配置 情 
况 。 因 为 它 有 一 个 /all 参数 ， 所 以 它 可 侦查 到 本 机 上 所 有 网 络 适 配 的 卫 地 址 分 配 情况 ， 比 
Ping 命令 更 为 详细 。 如 果 在 计算 机 bb_data 客户 端 上 运行 Ipconfig/all/batch data.txt 后 , 打开 
data.txt 文件 ， 将 能 非常 详细 地 显示 所 有 与 TCP/IP 协议 有 关 的 配置 情况 。 

与 Ping 相 比 ， 它 的 不 足 之 处 是 只 能 在 本 机 上 测试 ， 不 能 运用 网 络 功能 来 测试 。 


9.3.3 ”Netstat 命令 


Netstat 命令 也 是 运行 于 DOS 提示 符 下 的 工具 ， 利 用 该 工具 可 以 显示 有 关 统 计 信息 和 
当前 TCP/P 的 网 络 连接 情况 ,用 户 或 网 络 管理 人 员 可 以 得 到 非常 详尽 的 统计 结果 。 如 系统 
网 络 连接 的 信息 (使 用 的 端口 和 在 使 用 的 协议 等 )， 收 到 和 发 出 的 数据 ， 被 连接 的 远程 系统 
的 端口 等 。 


1. Netstat 命令 的 语法 格式 


Netstat 格式 : 
Netstat [-al [-p] [-n] [-r] [-s] [interval] 
主要 参数 功能 说 明 如 下 。 


e@ -a， 显 示 所 有 有 效 连 接 的 信息 列表 ， 包 括 已 建立 的 连接 (ESTABLISHED)， 也 包括 
监听 连接 请 求 (LISTENING) 的 连接 。 通 常用 于 获得 本 地 系统 开放 的 端口 ， 还 可 以 
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检查 是 否 被 安装 木马 ， 如 果 机 器 上 运行 Netstat 命令 发 现 诸如 port 12345(TCP) 
netbus、port 31337(UDP) back orifice 之 类 的 信息 ， 则 机 器 上 就 很 有 可 能 感染 了 木 
马 病毒 。 

@  -p， 用 来 显示 特定 的 协议 配置 信息 ， 它 的 格式 为 Netstat -p xxx，xxx 可 以 是 UDP、 
卫 、ICMP 或 TCP， 如 要 显示 机 器 上 的 TCP 协议 配置 情况 可 以 用 Netstat -p tcp。 

@ -n， 用 数字 显示 地 址 和 端口 ， 通 常用 于 检查 自己 的 IP， 用 数字 的 形式 来 显示 主 
机 名 。 

e@  -r， 显 示 关于 路 由 表 的 信息 ， 除 了 显示 有 效 路 由 外 ， 还 显示 当前 有 效 的 连接 。 

e@  -s， 显 示 默 认 情 况 下 每 个 协议 的 配置 统计 ， 包 括 TCP、IP、UDP、ICMP 等 协议 。 
能 够 按照 各 个 协议 分 别 显 示 其 统计 数据 。 如 果 应 用 程序 (如 Web 浏览 器 ) 运 行 速度 
比较 慢 , 或 者 不 能 显示 Web 页 之 类 的 数据 ， 那 么 就 可 以 用 本 选项 来 查看 一 下 所 显 
示 的 信息 。 

e@ interval， 每 隔 interval 秒 重复 显示 所 选 协 议 的 配置 情况 ， 直 到 按 Ctrl+C 快捷 键 
中 断 。 

在 命令 提示 符 下 输入 Netstat/? 可 获得 Netstat 的 使 用 帮助 。 命 令 中 的 一 些 参数 是 区 分 

大 、 小 写 的 。 


2. Netstat 的 应 用 


从 以 上 各 参数 的 功能 可 以 看 出 Netstat 工具 有 以 下 几 个 方面 的 应 用 。 

(1) 显示 本 地 或 与 之 相连 的 远程 机 器 的 连接 状态 ， 包 括 TCP、IP、UDP、ICMP 协议 
的 使 用 情况 ， 了 解 本 地 机 开放 的 端口 情况 。 

(2) 检查 网 络 接口 是 否 安装 正确 , 如 果 在 用 Netstat 这 个 命令 后 仍 不 能 显示 某 些 网 络 接 
口 的 信息 ， 则 说 明 这 个 网 络 接口 没有 正确 连接 ， 需 要 重新 查找 原因 。 

(3) 通过 使 用 -r 参数 查询 与 本 机 相连 的 路 由 器 地 址 分 配 情 况 。 

(4) 检查 常见 的 木马 程序 ， 任 何 黑客 程序 都 需要 通过 打开 一 个 端口 来 达到 与 服务 器 进 
行 通信 的 目的 , 不 过 首先 要 使 计算 机 接 入 Intemet 才 行 ， 不 然 这 些 端口 是 不 可 能 打开 的 ， 而 
且 这 些 黑客 程序 也 不 会 达到 入 侵 的 目的 。 


9.3.4 Tracert 命令 

Tracert 主要 用 来 显示 数据 包 到 达 远 程 计算 机 所 经 过 的 路 径 。 该 命令 能 把 送出 的 到 某 一 
远程 计算 机 的 请 求 包 ， 所 经 过 的 全 部 路 由 都 显示 出 来 ， 如 该 路 由 的 卫 是 多 少 、 通 过 该 卫 
的 时 延 是 多 少 等 。 

主要 功能 :判定 数据 包 到 达 远程 计算 机 所 经 过 的 路 径 、 显 示 数 据 包 经 过 的 中 继 节 点 清 
单 和 到 达 时 间 。 

1. Tracert 命令 的 语法 格式 

Tracert 命令 格式 : 


Tracert [-d] [-h maximum hops] [-j host list] [-w timeout] 


主要 参数 功能 及 说 明 如 下 : 


让。 。 -4 不 解析 远程 计算 机 的 名 字 。 

机 e@ -hmaximum hops， 指 定 搜索 到 目标 地 址 的 最 大 跳跃 数 。 

e@ ”jj host_list， 按 照 计算 机 列表 中 的 地 址 释放 源 路 由 。 

售 e@ 。 -wtimeout， 指 定 超时 时 间 间 隔 ， 程 序 默认 的 时 间 单 位 是 毫秒 。 

自 

学 2. Tracert 的 应 用 

全 要 了 解 本 地 计算 机 与 远程 计算 机 之 间 详 细 的 传输 路 径 信息 ， 可 以 使 用 Tracert 命令 。 
在 DOS 命令 提示 符 下 输入 : 
Tracert 215.0.0.12 


Tracert 命令 可 以 很 详细 地 跟踪 连接 到 目标 计算 机 215.0.0.12 的 路 径 信 息 ， 如 中 途经 过 
多 少 次 信息 中 转 、 每 个 中 转 花 费 了 多 少时 间 等 ， 从 而 查 出 用 户主 机 与 远程 计算 机 之 间 的 线 
路 故障 等 情况 。 

除了 以 上 所 介绍 的 这 5 个 常用 命令 外 ，Microsoft 还 在 系统 中 内 置 了 其 他 工具 ， 如 Arp 
命令 用 于 显示 并 修改 Intermet 到 以 太 网 的 地 址 转换 表 ; Nslookup 命令 查询 一 台 机 器 的 全 地 
址 和 其 对 应 的 域名 ， 它 通常 需要 一 台 域 名 服务 器 来 提供 域名 服务 ， 如 果 用 户 已 经 设置 好 域 
名 服务 器 ， 就 可 以 用 这 个 命令 查看 不 同 主机 的 人 P 地 址 对 应 的 域名 。 

不 同系 统 中 的 相应 命令 参数 设置 可 能 有 不 同 之 处 ， 本 书 所 列 的 这 些 工具 软件 参数 用 法 
是 针对 Windows 操作 系统 ， 在 UNIX 和 Linux 中 有 很 多 不 同 。 


9.4 网 络 连 接 设 备 的 维护 


不 论 是 局 域 网 、 城 域 网 还 是 广域网 ， 其 物理 硬件 通常 都 是 由 网 卡 、 集 线 器 、 交 换 机 、 
路 由 器 、 网 线 及 RJ-45 接头 等 网 络 连接 设备 和 传输 介质 组 成 的 。 


9.4.1 网 卡 


网 卡 也 叫 网 络 适 配器 ， 是 网 络 接口 卡 (Network Interface Card，NIC) 的 简称 ， 是 网 络 最 
基本 的 组 成 部 分 之 一 。 它 的 主要 作用 是 将 计算 机 数据 转换 成 能 够 通过 介质 传输 的 信号 。 现 
在 使 用 的 网 卡 大 都 是 采用 PCI 接口 的 以 太 网 卡 ，ISA 接口 的 网 卡 已 基本 被 淘汰 。 

网 卡 在 重启 时 能 正常 检测 ,但 不 能 同 其 他 机 器 互联 。 这 种 情况 是 子 网 掩 码 或 他 地 址 配 
置 错误 、 网 线 不 通 、 网 络 协议 安装 不 正确 、 路 由 器 配置 不 正确 等 。 解 决 方法 是 首先 将 Ping 
本 网 卡 的 回 送 地 址 (127.0.0.1)， 若 通则 说 明 本 机 TCP/IP 工作 正常 ， 若 不 通则 需 重新 配置 并 
重新 启动 计算 机 。 有些 网 卡 默认 速率 为 100Mb/s, 也 会 导致 网 络 不 通 , 需要 根据 所 连 Hub( 集 
线 器 ) 或 Switch( 交 换 机 ) 口 的 速率 , 将 其 速率 设置 为 10Mb/s、100Mb/s 或 设 成 自 适 应 网 线 速率 。 

在 搬 动 机 器 时 网 卡 的 损坏 率 往往 较 高 。 另 外 ， 主 板 上 的 PCI 插 槽 有 时 也 可 能 导致 网 卡 
出 现 问题 。 


9.4.2 ”集线器 和 交换 机 
交换 机 和 集线器 都 是 对 网 络 进行 延伸 管理 和 扩展 网 络 终端 的 重要 设备 。 
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集线器 和 交换 机 在 网 络 结构 中 的 作用 是 相同 的 , 都 是 对 网 络 进 行 集中 管理 的 重要 工具 。 
只 是 集线器 上 的 所 有 端口 共享 同一 带宽 ， 而 交换 机 上 的 所 有 端口 均 有 独 享 的 信道 带宽 。 


1. 交换 机 的 定义 


交换 机 是 一 种 基于 MAC( 网 卡 的 硬件 地 址 ) 识 别 ， 能 完成 封装 转发 数据 包 功 能 的 网 络 设 
备 。 交 换 机 可 以 “学 习 ”MAC 地 址 ， 并 将 其 存放 在 内 部 地 址 表 中 ， 通 过 在 数据 帧 的 始 发 者 
和 目标 接收 者 之 间 建 立 临时 的 交换 路 径 ， 使 数据 帧 直接 由 源 地 址 到 达 目 的 地 址 。 


2. 集线器 的 定义 


集线器 属于 数据 通信 系统 中 的 基础 设备 ， 它 和 双 绞 线 等 传输 介质 一 样 ， 是 一 种 不 需 任 
何 软 件 支 持 ， 或 只 需 很 少 管理 软件 的 硬件 设备 。 集 线 器 像 网 卡 一 样 ， 应 用 于 OSI 参考 模型 
第 一 层 ， 因 此 又 被 称 为 物理 层 设备 。 集 线 器 内 部 采用 了 电器 互 连 ， 当 维护 LAN 的 环境 是 罗 
辑 总 线 或 环 型 结构 时 ， 完 全 可 以 用 集线器 建立 一 个 物理 上 的 星 型 或 树 型 网 络 结构 。 在 这 方 
面 ， 集 线 器 所 起 的 作用 相当 于 多 端口 的 中 继 器 。 其 实 ， 集 线 器 实际 上 就 是 中 继 器 的 一 种 ， 
其 区 别 仅 在 于 集线器 能 够 提供 更 多 的 端口 服务 ， 所 以 集线器 又 叫 多 口中 继 器 。 


3. 交换 机 与 集线器 的 区 别 


(1) 交换 机 与 集线器 的 本 质 区 别 。 用 集线器 组 成 的 网 络 称 为 共享 式 网 络 ， 而 用 交换 机 
组 成 的 网 络 称 为 交换 式 网 络 。 

共享 式 以 太 网 存在 的 主要 问题 是 所 有 用 户 共享 带宽 ， 每 个 用 户 的 实际 可 用 带宽 随 网 络 
用 户 数 的 增加 而 递减 。 这 是 因为 当 信息 繁忙 时 ， 多 个 用 户 可 能 同时 “ 争 用 ”一 个 信道 ， 而 
一 个 信道 在 某 一 时 刻 只 允许 一 个 用 户 占用 ， 所 以 大 量 的 用 户 经 常 处 于 监测 等 待 状态 ， 致 使 
信号 传输 时 产生 抖动 、 停 滞 或 失真 ， 严 重 影响 了 网 络 的 性 能 。 

(2) 在 交换 式 以 太 网 中 ， 交 换 机 提供 给 每 个 用 户 专用 的 信息 通道 ， 除 非 两 个 源 端口 企 
图 同时 将 信息 发 往 同一 个 目的 端口 ， 否 则 多 个 源 端 口 与 目的 端口 之 间 可 同时 进行 通信 而 不 
会 发 生 冲突 。 

通过 实验 测 得 ， 在 多 服务 器 组 成 的 局 域 网 中 ， 处 于 半 双 工 模式 下 的 交换 式 以 太 网 的 实 
际 最 大 传输 速率 是 共享 式 网 络 的 1.7 倍 ， 而 工作 在 全 双 工 状态 下 的 交换 式 以 太 网 的 实际 最 
大 传输 速率 可 达到 共享 式 网 络 的 3.8 倍 。 

交换 机 只 是 在 工作 方式 上 与 集线器 不 同 ， 其 他 的 如 连接 方式 、 速 度 选择 等 与 集线器 基 
本 相同 ， 目 前 的 交换 机 同样 从 速度 上 分 为 10Mb/s、100Mb/s 和 1000Mb/s 几 种 ， 所 提供 的 
端口 数 多 为 8 口 、16 口 和 24 口 几 种 。 交 换 机 在 局 域 网 中 主要 用 于 连接 工作 站 、 集 线 器 、 
服务 器 或 用 于 分 散 式 主干 网 。 

在 实现 小 型 企业 局 域 网 方案 时 ， 在 并 发 用 户 不 多 、 只 作为 一 般 办 公 应 用 的 情况 下 可 考 
虑 使 用 组 网 经 济 、 维 护 复杂 程度 低 的 集线器 。 但 在 网 络 较 大 ， 对 网 络 速度 要 求 较 高 的 网 络 
环境 中 或 者 在 主干 网 络 中 就 要 考虑 使 用 交换 机 。 


4. 交换 机 与 集线器 的 级 联 


集线器 和 交换 机 的 性 能 优化 主要 体现 在 集线器 或 交换 机 的 级 联 上 。 如 果 需 要 集线器 与 
集线器 或 集线器 与 交换 机 级 联 ， 则 一 定 要 注意 集线器 的 带宽 是 所 有 端口 共享 的 ， 每 个 端口 


于 证 以 吾 兰 凑 王 


的 实际 可 利用 带宽 为 总 带宽 除 以 所 用 端口 数 ， 所 以 一 般 不 用 集线器 来 级 联 ， 即 使 级 联 ， 也 
一 般 最 多 是 两 层 ， 否 则 网 络 速度 会 呈 倍 差 级 数 减 慢 。 因 此 级 联 大 多 是 通过 用 集线器 连接 在 
交换 机 的 端口 上 实现 的 ， 因 为 交换 机 的 带宽 就 是 每 个 端口 的 实际 可 用 带宽 ， 而 不 受 交换 机 
所 用 端口 数 的 限制 。 

交换 机 与 带 有 级 联 口 的 集线器 的 级 联 方式 是 ， 用 一 条 直通 线 通 过 集线器 的 级 联 口 连接 
到 交换 机 的 任何 一 个 端口 (MDI-X) 上 。 

(1) 交换 机 与 没有 级 联 口 的 集线器 的 级 联 方式 。 用 直通 线 将 交换 机 的 级 联 端 口 (MDD 
连接 到 集线器 的 任 一 端口 。 用 交叉 线 将 交换 机 的 任 一 端口 (MDI-X) 与 集线器 的 任意 端口 


| 连接 。 


(2) 交换 机 与 交换 机 的 级 联 方式 用 直通 线 将 交换 机 的 级 联 端 口 MDD 连 接 到 另 一 交换 
机 的 任 一 端口 。 用 交叉 线 将 交换 机 的 任 一 端口 (MDI-X) 与 另 一 交换 机 的 任意 端口 连接 。 

集线器 之 间 可 通过 面板 上 的 Up-Link 口 级 联 ， 即 将 一 台 集线器 的 Up-Link 口 用 直通 线 
接 到 另 一 台 集 线 器 的 任何 一 个 RJ-45 口上 ， 也 可 将 两 个 普通 端口 用 交叉 线 连接 来 实现 两 个 
集线器 的 级 联 。 

集线器 的 级 联 端 口 不 能 和 其 共用 的 端口 同时 使 用 。 因 为 在 集线器 内 部 ， 级 联 端 口 与 其 
共用 端口 实际 上 是 同一 端口 ， 不 可 能 同时 连接 两 台 设备 。 


9.4.3 ”路 由 器 


路 由 器 是 多 个 网 络 或 网 段 相连 必 不 可 少 的 网 络 设备 。 它 能 将 不 同类 型 网 络 的 数据 信息 
翻译 成 相互 间 能 读 懂 的 信息 ， 从 而 组 成 更 大 的 网 络 。 

作为 网 络 管理 人 员 ， 配 置 路 由 器 是 一 项 重要 的 工作 。 一 般 路 由 器 至 少 具备 一 个 以 太 网 
口 和 一 个 同步 口 ， 在 路 由 器 面板 上 的 指示 分 别 为 LAN( 以 太 端 口 ) 和 WAN( 同 步 端口 )。 一 台 
新 买 路 由 器 的 配置 文件 是 空 的 ， 当 为 其 进行 简单 的 路 由 配置 (包括 这 两 个 端口 的 配置 和 静态 
路 由 的 添加 ) 后 , 通过 内 部 网 交换 机 或 集线器 接 到 路 由 器 以 太 网 口上 的 工作 站 就 可 以 通过 同 
步 端口 与 更 远 、 更 大 的 网 络 进行 通信 了 ，Intermet 网 就 是 这 个 道理 。 

在 网 络 异常 的 情况 下 ， 可 用 “show interface 端口 号 ”命令 来 查看 链 路 的 状态 ， 借 以 判 
断 以 太 网 端口 和 同步 端口 是 否 有 故障 。 


9.4.4 网 线 


网 线 有 两 种 ， 一 种 是 同 轴 电 缆 ， 另 一 种 就 是 双 绞 线 ， 同 轴 电 缆 基 本 已 经 淘汰 ， 下 面 只 
对 双 绞 线 进行 介绍 。 

双 绞 线 是 由 不 同 颜 色 的 4 对 8 芯 线 组 成 ， 每 两 条 按 一 定 规则 交织 在 一 起 ， 成 为 一 个 芯 
线 对 。 作 为 以 太 局 域 网 最 基本 的 传输 介质 ， 双 绞 线 习惯 上 称 为 网 线 。 双 绞 线 作为 网 络 连 接 
的 传输 介质 ,网络 上 的 所 有 信息 都 需要 在 这 样 一 个 信道 中 传输 ， 如果 双 绞 线 本 身 质 量 不 好 ， 
传输 速率 受到 限制 ， 即 使 其 他 网 络 设备 的 性 能 再 好 传输 速率 再 高 也 不 行 。 

双 绞 线 可 分 为 屏蔽 (Shielded Twisted-Pair, STP) 与 非 屏蔽 (Unshielded Twisted-Pair, UTP) 
双 绞 线 两 类 ， 屏 项 的 双 绞 线 外 面包 有 一 层 屏蔽 用 的 金属 膜 ， 它 的 抗 干扰 性 能 要 强 于 非 屏蔽 
双 绞 线 ， 大 多 数 局 域 网 使 用 非 屏蔽 双 绞 线 作为 布线 的 传输 介质 ， 单 根 网 线 由 一 定 距离 长 的 
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双 绞 线 与 RJ-45 头 组 成 。 

双 绞 线 价格 低廉 、 连 接 可 靠 、 维 护 简单 ， 可 提供 高 达 1000Mb/s 的 传输 带宽 , 不仅 可 用 
于 数据 传输 ， 而 且 还 可 以 用 于 语音 和 多 媒体 传输 。 目 前 的 超 五 类 和 六 类 非 屏蔽 双 绞 线 可 以 
轻松 提供 155Mb/s 的 通信 带宽 ， 并 拥有 升级 至 千 兆 的 带宽 潜力 ， 因 此 ， 成 为 当今 水 平 布线 
的 首选 线 缆 。 


9.4.5 ”RJ-45 接头 


RJ-45 接头 又 称 为 “水 晶 头 ”， 是 连接 非 屏蔽 双 绞 线 的 连接 器 ， 为 模块 式 插 孔 结 构 。 
RJ-45 接口 前 端 有 8 个 凹 槽 ， 简 称 8P(Position)， 凹 槽 内 的 金属 接点 共有 8 个 ， 简 称 
8C(Contact)， 因 而 也 有 8P8C 的 别称 。 

从 侧面 观察 RJ-45 接口 ， 可 以 看 到 8 片 平 行 排列 的 金属 片 ， 每 片 金属 片 前 端 都 有 一 个 
突出 透明 框 的 部 分 ， 从 外 表 来 看 就 是 一 个 金属 接点 。 按 金属 片 的 形状 来 划分 ， 又 有 “二 又 
式 RJ-45” 及 “三 叉 式 RJT-45” 接 口 之 分 。 二 叉 式 的 金属 片 只 有 两 个 侧 刀 ， 三 叉 式 的 金属 片 
则 有 3 个 侧 刀 。 人 金属 片 的 前 端 有 一 小 部 分 穿 出 RJ-45 的 塑料 外 壳 ， 形 成 与 RJ-45 插 槽 接触 
的 金属 脚 。 

在 压 接 网 线 的 过 程 中 ， 金 属 片 的 侧 刀 必须 刺 入 双 绞 线 的 线 芯 ， 并 与 线 芯 总 的 铜 质 导线 
内 芯 接 触 ， 以 连通 整个 网 络 。 一 般 地 ， 叉 数目 越 多 ， 接 触 的 面积 也 越 大 ， 导 通 的 效果 也 越 
明显 ， 因 此 三 叉 式 的 接口 比 二 叉 式 接口 更 适合 高 速 网 络 。 

水 晶 头 也 有 几 种 档次 之 分 ， 有 带 屏 项 的 也 有 不 带 屏 蔽 的 ， 水 晶 头 的 质量 得 不 到 保证 ， 
会 造成 接触 不 良 ， 网 络 不 通 。 质 量 差 的 表现 为 塑料 扣 位 不 紧 ( 通 常 是 变形 所 致 ;， 也 很 容易 
造成 接触 不 良 ， 网 络 中 断 。 


9.5 网络 性 能 优化 
9.5.1 系统 内 存 优化 


1. BIOS 优化 


BIOS 中 与 内 存 有 关 的 选项 在 BIOS 主 界面 的 Advanced Chipset Features 中 , 选项 界面 
如 图 9.4 所 示 。 
以 下 介绍 几 个 最 常用 的 选项 。 如 CAS Latency，CL(CAS Latency) 指 的 是 内 存 存 取 数据 
所 需 的 延迟 时 间 ， 简 单 地 说 ， 就 是 内 存 接 到 CPU 的 指令 后 的 反应 速度 。 一 般 的 参数 值 是 2 
和 3 两 种 。CAS 延迟 参数 值 越 小 ， 系 统 在 读 取 RAM 数据 时 的 速度 就 越 快 。 
Dont gare SIAN Tining by sm 
SIRAM ChS# Latency 


SDRAM RAS# Precharge 
SDRAM RASE to CASE Delay 


SIRAM Precharge Delay 
SDRAM Burst Length 


9.4 BIOS 中 Advanced Chipset Features 界面 


SDRAM CAS 延迟 值 为 3， 但 基本 上 都 可 以 达到 2。DDR 内 存 是 双 倍 速率 的 
SDRAM(Dual date rate SDRSM)， 是 SDRAM 的 升级 换代 产品 ， 它 的 数据 传输 速率 为 传统 
SDRAM 的 2 倍 ， 它 的 CAS 延迟 值 一 般 设 置 为 2。RDRAM， 它 的 CAS 延迟 要 比 SDRAM 
大 得 多 ， 如 果 把 CAS 延迟 设 小 一 点 效果 非常 显著 。 但 改变 CAS 延迟 实际 上 是 一 种 超频 ， 
要 注意 它 的 稳定 性 (可 以 运行 如 TimeDemo Loop 之 类 的 稳定 性 测试 软件 )。 

(1) RAS To CAS Delay, 设置 行 激活 命令 到 读 / 写 命令 之 间 的 时 间 。 这 个 值 越 小 表示 越 
快 ， 在 修改 它 时 ， 也 要 注意 系统 的 稳定 性 。 

(2) RAS Precharge Time， 设 置 DRAM 预 充电 需要 多 少 个 周期 的 时 间 ， 值 越 小 速度 越 
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(3) SDRAM Precharge Control， 设 置 系统 如 何 管理 SDRAM 的 预 充电 时 间 ， 它 有 两 个 
值 ， 即 Enabled 和 Disabled， 在 不 同 的 系统 上 有 不 同 的 结果 ， 建 议 两 者 都 试 一 下 。 

(4) Shadow System BIOS， 如 果 它 为 Enabled 的 话 , 在 系统 启动 时 会 把 BIOS 中 的 内 容 
复制 到 主 内 存 中 ， 对 大 多 数 机 器 来 说 ， 启 动 速度 和 运行 速度 都 会 加 快 。 

(5) System BIOS Cacheable， 当 设 为 Enabled 时 ,在 必要 时 系统 会 把 BIOS 中 的 内 容 备 
份 到 工 2 缓存 中 ， 加 快 BIOS 的 运行 速度 ， 效 果 比 Shadow System BIOS 还 要 好 。 当 Shadow 
System BIOS 也 设 为 Enabled 时 ， 效 果 最 佳 。 


2. 注册 表 修 改 


在 注册 表 中 有 若干 个 关于 内 存 的 设置 ， 但 在 修改 时 要 注意 ， 因 为 稍 有 错误 就 会 导致 系 
统 骨 江 。 所 以 在 修改 前 要 把 注册 表 作 一 个 备份 ， 以 备 在 出 现 问 题 恢 复 。 

首先 在 注册 表 中 找到 HKLM/System/CurrentControlSet/Control/Session Manager/Memory 
Management， 会 发 现下 面 几 个 选项 : 

(1) DisableExecutivePaging， 设 为 Enabled 时 ， Windows 在 运行 可 执行 文件 时 不 使 用 
硬盘 上 的 交换 文件 ， 这 样 操作 系统 和 文件 执行 的 速度 会 更 快 。 推 荐 只 有 在 系统 内 存 大 于 
128MB 时 ， 才 将 它 设 为 Enabled， 因 为 它 也 要 占用 一 定 的 系统 资源 。 在 默认 状态 下 ， 它 的 
值 为 0Disabled)， 如 果 要 为 Enabled 就 为 1。 

(2) LargeSystemCache， 设 为 Enabled 时 (服务 器 版 的 Windows 默认 设置 为 Enabled)， 
系统 会 把 除了 4MB( 作 为 硬盘 缓存 ) 以 外 的 所 有 内 存 都 用 作文 件 系统 的 缓存 。Windows 会 把 
自己 的 内 核 放 到 内 存 中 ， 这 样 运 行 起 来 就 更 快 。 这 项 设置 是 动态 的 ， 如 果 在 某 些 情况 下 硬 
盘 需 要 更 多 的 缓存 ,系统 会 释放 一 些 内 存 给 硬盘 作 缓存 。 在 默认 情况 下 有 8MB 内 存 是 留 作 
此 用 途 的 。 

此 项 设置 的 主要 好 处 就 是 可 以 使 操作 系统 运行 得 更 快 ， 并 且 它 还 是 动态 的 ， 当 内 存 需 
求 不 大 时 ，Windows 的 内 核 就 驻 留 内 存 ， 如 果 运 行 多 个 程序 需要 大 量 内 存 ，Windows 会 把 
它 的 内 核 从 内 存 中 释放 出 来 。 0 表示 Disabled, 1 表示 Enabled。 不 过 如 果 把 它 设 为 Enabled， 
系统 会 占用 更 多 的 内 存 ， 在 一 些 任务 很 密集 的 情况 下 ， 系 统 性 能 会 下 降 。 根 据 Microsoft 
的 说 法 ， 对 那些 自己 进行 缓存 的 应 用 程序 如 Microsoft SQL， 和 需要 大 量 内存 才 能 得 到 最 好 
性 能 的 程序 (如 HS) 来 说 ， 此 项 设置 最 好 。 

(3) IOPageLockLimit， 这 项 设置 主要 是 服务 器 应 用 。 如 果 设 置 合 理 ， 在 进行 大 数据 量 
的 文件 传送 和 类 似 的 操作 时 ， 可 以 提升 系统 的 IO 性 能 。 但 是 如 果 系 统 内 存 不 足 128MB， 
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那么 这 项 设置 不 会 有 任何 作用 。 如 果 系 统 内 存 超过 128MB, 可 以 把 它 设置 为 8~16MB, 性 
能 的 提升 会 比较 明显 。 默 认 值 是 0.5 MB( 512 KB)。 

3. 禁止 启动 时 运行 程序 

禁止 启动 时 运行 一 些 不 必要 的 程序 可 以 少 占用 一 些 内 存在 Windows 2000 中 禁止 启动 
时 运行 程序 不 像 Windows 9x/Me 中 那样 简单 ， 必 须要 修改 注册 表 。 注 册 表 中 相关 的 项 为 
[HLKM\SOFTWARE\MICROSOFT\WWINDOWS\CURRENTVERSION\RUN]。 找 到 之 后 ， 就 
可 以 进行 修改 了 。 不 过 还 是 要 先 做 好 备份 ， 以 防 出 现 错 误 。 


9.5.2 ”CPU 的 优化 
对 于 CPU 的 优化 主要 考虑 CPU 缓存 技术 和 多 处 理 器 技术 。 
1. 缓存 技术 


目前 使 用 的 CPU 都 具有 一 个 二 级 缓冲 存储 器 (二 级 缓存 ), 主要 用 来 保存 CPU 最 近 使 用 
过 的 数据 ， 为 一 级 缓存 传送 数据 提供 方便 。CPU 访问 缓存 的 速度 远 远 快 于 访问 RAM 的 
速度 。 

按照 CPU 结构 的 不 同 ， 二 级 缓存 通常 称 为 外 部 缓存 ， 它 的 容量 一 般 在 256 KB 到 几 兆 
之 间 。 二 级 缓存 是 一 个 中 转 站 ， 实 现 数据 从 物理 内 存 到 CPU 的 交换 。 由 于 CPU 只 能 处 理 
一 级 缓存 中 的 数据 , 所 以 , 二 级 缓存 先 将 数据 传递 到 一 级 缓存 中 , 再 由 一 级 缓存 传递 到 CPU 
进行 处 理 。 可 见 ，CPU 的 缓存 越 大 ，CPU 处 理 数 据 的 速度 就 越 快 。 


2. 多 处 理 器 技术 


多 处 理 器 技术 就 是 在 一 台 计 算 机 系统 中 安装 多 个 CPU， 并 协同 处 理 数据 。 一 个 CPU 
一 次 只 能 执行 一 条 指令 ， 多 个 CPU 的 使 用 必 将 提高 数据 处 理 速度 。 不 过 ， 要 实现 多 处 理 器 
技术 需要 支持 多 处 理 器 安装 的 主板 和 操作 系统 。 对 于 操作 系统 而 言 ，Windows Server 是 一 
个 不 错 的 选择 ， 它 支持 4 一 8 个 CPU， 并 使 用 对 称 式 多 处 理 器 系统 ， 可 以 将 一 个 应 用 程序 
或 服务 中 的 进程 由 多 个 CPU 来 处 理 。 


9.5.3 ”硬盘 优化 
对 硬盘 进行 优化 主要 考虑 硬盘 的 技术 、 硬 盘 的 速度 和 文件 系统 。 
1. 硬盘 的 技术 


从 当前 的 硬盘 接口 技术 来 看 , 硬盘 主要 分 为 两 种 , 一 种 是 IDE 接口 硬盘 , 另 一 种 是 SCSI 
接口 硬盘 。IDE 接口 速度 慢 ， 但 价格 便宜 ， 因 此 它 广泛 地 应 用 于 个 人 计算 机 和 工作 站 。 而 
SCSI 接口 是 小 型 计算 机 系统 接口 的 简称 ， 它 的 设计 要 求 传输 速率 高 、 支 持 多 进程 和 并 行 处 
理 。1988 年 推出 的 SCSI 标准 使 数据 传 速率 提高 到 了 160Mb/s。 早 期 的 SCSI 接口 只 用 于 小 
型 机 以 上 的 高 端 计算 机 , 现在 已 经 有 大 量 的 中 、 低 端 服 务 器 使 用 SCSI 接口 , 而 且 开 始 出 现 
在 PC 中 。 

IDE 与 SCSI 接口 有 很 大 的 不 同 ， 首 先是 两 者 的 接口 方式 不 同 ，IDE 工作 时 需要 CPU 
的 全 程 参与 ,CPU 读 写 数据 时 就 不 能 做 其 他 事情 ,而 SCSI 接 口 则 完全 通过 独立 的 高 速 SCSI 
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控制 卡 来 控制 数据 的 读 写 操作 ， 提 高 了 系统 的 输入 /输出 处 理 能 力 ， 并 能 提供 更 多 的 CPU 
资源 。 就 硬盘 而 言 ，IDE 接口 硬盘 对 CPU 的 占用 率 一 般 要 达到 30% 一 50%， 而 SCSI 接口 
硬盘 对 CPU 的 占用 率 只 有 49% 一 6%。 虽 然 现在 的 IDE 接口 为 了 改善 这 些 问题 , 在 技术 上 也 
做 了 许多 调整 和 改进 ， 如 应 用 DMA 模式 读 写 数据 ， 但 在 一 定 程度 上 降低 了 对 CPU 的 占用 
率 ， 因 此 其 性 能 仍 无 法 与 SCSI 同日 而 语 。 另 外 ，SCSI 接口 的 另 一 个 特点 是 扩充 性 和 安全 
性 都 非常 好 。 一 个 IDE 控制 卡 最 多 可 以 连接 两 个 IDE 接口 设备 ， 而 一 个 SCSI 控制 卡 最 多 
可 以 连接 60 个 SCSI 接 口 设备 。 
由 于 IDE 和 SCSI 接口 硬盘 在 速度 、 容 量 、 可 靠 性 和 稳定 性 等 方面 都 有 很 大 的 差距 ， 


| 在 选 购 时 一 定 要 根据 需要 来 决定 。 一 般 地 ,PC 和 网 络 中 的 工作 站 都 使 用 IDE 接口 硬盘 ,而 


服务 器 主要 使 用 SCSI 接口 硬盘 。 
2. 硬盘 的 速度 


前 面 已 经 介绍 过 ，SCSI 接 口 硬盘 比 IDE 接口 硬盘 的 速度 要 快 得 多 ， 选 择 SCSI 接口 硬 
盘 就 等 于 选择 高 速 硬 盘 。 但 是 ， 由 于 价格 或 主板 的 原因 只 能 选择 IDE 接口 硬盘 时 ， 尽 量 选 
择 高 速 的 IDE 接口 硬盘 。 现 在 ，IDE 接口 硬盘 主要 有 两 种 速度 类 型 ， 一 种 是 5400r/s， 另 一 
种 是 7200r/s。 


3. 文件 系统 


文件 系统 就 是 在 硬盘 上 存储 信息 的 格式 。 在 所 有 的 计算 机 系统 中 ， 都 存在 一 个 相应 的 
文件 系统 ， 它 规定 了 计算 机 对 文件 和 文件 夹 进行 操作 处 理 的 各 种 标准 和 机 制 。 因 此 ， 用 户 
对 所 有 的 文件 和 文件 夹 的 操作 都 是 通过 文件 系统 来 完成 的 。 其 中 ，Windows 支持 的 文件 系 
统 包 括 以 下 几 种 。 

(1) FAT。 标准 文件 分 配 表 , 运行 在 Windows NT、Windows 95、MS-DOS 或 OS/2 上 ， 
可 以 存 取 主 分 区 或 者 逻辑 分 区 上 的 文件 。FAT 文件 系统 是 一 种 最 初 设计 用 于 小 型 磁盘 和 简 
单 文 件 结构 的 简单 文件 系统 。 采 用 FAT 文件 系统 格式 化 的 卷 以 簇 的 形式 进行 分 配 ， 默认 的 
簇 大 小 由 卷 的 大 小 决定 。 对 于 FAT 文件 系统 ， 簇 的 数目 必须 可 以 用 16 位 的 二 进 制 数字 表 
示 ， 并 且 是 2 的 乘 方 。 由 于 额外 开销 的 原因 ， 在 大 于 511MB 的 卷 中 不 推荐 使 用 FAT 文件 
系统 。 如 果 用 户 的 计算 机 上 运行 的 是 Windows 95、Windows for Workgroups、MS-DOS、 
OS/2 或 Windows 95 以 前 的 版 本 ， 那 么 FAT 文件 系统 格式 是 最 佳 的 选择 。 不 过 ， 需 要 注意 
的 是 ，FAT 文件 系统 最 好 用 在 较 小 的 卷 上 。 因 为 ， 在 不 考虑 簇 大 小 的 情况 下 ,使 用 FAT 文 
件 系 统 ， 则 卷 不 能 大 于 4GB。 

(2) FAT32。 增 强 的 文件 分 配 表 ， 它 是 在 大 型 磁盘 驱动 器 (超过 512MB) 上 存储 文件 的 
极 有 效 的 系统 。 FAT32 文件 系统 提供 了 比 FAT 文件 系统 更 为 先进 的 文件 管理 特性 ， 如 支持 
超过 32GB 的 卷 以 及 通过 使 用 更 小 的 簇 来 更 有 效率 地 使 用 磁盘 空间 。 作 为 FAT 文件 系统 的 
增强 版 本 ， 它 可 以 在 容量 从 512MB 到 2TB 的 驱动 器 上 使 用 。 在 以 前 的 操作 系统 中 ， 只 有 
Windows2000、Windows 98 和 Windows 95 OEM Release 2 版 能 够 访问 FAT32 卷 。 MS-DOS、 
Windows 3.1 及 较 早 的 版 本 、Windows for Workgroups、Windows NT 4.0 及 更 早 的 版 本 都 不 
能 识别 FAT32 卷 ， 同 时 ， 也 不 能 从 FAT32 上 启动 它们 。 

(3) NTFS。 只 有 运行 Windows 2000、Windows NT 和 最 新 的 Windows XP 的 计算 机 才 
可 以 存 取 NTFS 卷 中 的 文件 。 NTFS 文件 系统 提供 了 FAT 和 FAT32 文件 系统 所 没有 的 读 写 
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能 力 、 可 靠 性 和 兼容 性 。NTFS 文件 系统 的 设计 目标 就 是 用 来 在 很 大 的 硬盘 上 很 快 地 执行 
诸如 读 、 写 和 搜索 这 样 的 标准 文件 操作 ， 甚 至 包括 像 文 件 系 统 恢复 这 样 的 高 级 操作 。NTFS 
文件 系统 包括 公司 环境 中 文件 服务 器 和 高 端 个 人 计算 机 所 需 的 安全 特性 。NTFS 文件 系统 
还 支持 对 于 关键 数据 完整 性 十 分 重要 的 数据 访问 控制 和 私有 权限 。 除 了 可 以 赋予 Windows 
计算 机 中 的 共享 文件 夹 特定 权限 外 ，NTFES 文件 和 文件 夹 无 论 共享 与 否 都 可 以 赋予 权限 。 
NTEFS 是 Windows 中 唯一 允许 为 单个 文件 指定 权限 的 文件 系统 。 然 而 ， 当 用 户 从 NTFS 卷 
移动 或 复制 文件 到 FAT 卷 时 ，NTFS 文件 系统 权限 和 其 他 特有 属性 将 会 丢失 。 

从 上 面 的 内 容 可 以 看 出 ， 无 论 是 网 络 用 户 还 是 个 人 用 户 最 好 都 使 用 NTFS 文件 系统 。 
不 过 ， 如 果 网 络 用 户 需 要 配置 多 重启 动 (包括 Windows 98 等 不 支持 NTFS 文件 系统 的 操作 
系统 )， 可 以 使 用 FAT32 文件 系统 。 如 果 个 人 用 户 没 有 使 用 Windows 等 支持 NTFS 文件 系 
统 的 操作 系统 ， 也 最 好 使 用 FAT32 文件 系统 。 当 然 ， 如 果 用 户 的 系统 中 仍 安装 着 Windows 
NT 等 低 端 操作 系统 ， 则 需要 使 用 至 少 一 个 FAT 分 区 。 


9.5.4 ”网 络 接口 优化 


网 络 接口 性 能 的 调整 和 优化 不 仅 涉及 网 络 数据 的 进出 问题 ， 而 且 关 系 到 整个 网 络 的 服 
务 、 设 备 和 布线 等 网 络 构成 问题 。 选 择 高 性 能 的 网 卡 和 驱动 程序 ， 并 配置 好 网 络 服务 和 协 
议 ， 可 以 大 大 提高 网 络 的 传输 速度 和 稳定 性 。 


1. 网 卡 和 驱动 程序 的 选择 


网 卡 承担 的 任务 是 非常 繁琐 的 ， 它 要 从 网 络 中 接收 数据 包 ， 先 确认 是 否 属于 本 地 计算 
机 ， 接 收 后 要 发 送 到 CPU 进行 处 理 ， 并 尽 可 能 地 保证 数据 的 传输 速度 。 另 外 ， 一 些 网 卡 与 
软件 结合 起 来 ， 可 以 使 用 客户 端 或 服务 器 端的 管理 特性 对 网 络 中 的 计算 机 运行 情况 进行 监 
视 。 在 选择 网 卡 时 ， 除 了 考虑 网 络 的 综合 性 能 外 ， 还 要 考虑 网 卡 的 数据 吞吐 能 力 ， 在 网 络 
计算 机 硬件 系统 允许 的 情况 下 应 尽量 选择 高 速 网 卡 ,对 于 工作 站 ,应 选择 10Mb/s 或 100Mb/s 
的 网 卡 ， 对 于 服务 器 应 选择 100Mb/s 或 1000Mb/s 的 网 卡 。 如 果 经 济 条 件 允 许 ， 可 以 选择 一 
些 专门 为 服务 器 设计 的 网 卡 ， 它 们 能 够 最 大 限度 地 降低 对 服务 器 CPU 的 占用 率 , 优化 了 服 
务 器 的 性 能 。 

由 于 Windows 等 网 络 操作 系统 的 硬件 兼容 性 都 比较 好 ， 大 部 分 网 卡 在 安装 到 系统 后 都 
不 需要 用 户 手动 安装 驱动 程序 即 可 使 用 。 但 是 ， 系 统 默 认 的 驱动 程序 大 都 只 能 驱动 网 卡 ， 
不 能 保证 网 卡 发 挥 最 佳 性 能 。 所 以 ， 建 议 用 户 为 网 卡 安装 专门 配置 的 驱动 程序 或 最 新 的 驱 
动 程序 。 

2. 服务 和 协议 的 设置 


在 为 网 卡 设置 服务 组 件 时 , 要 了 解 网 络 的 工作 特点 , 根据 情况 选择 要 使 用 的 网 络 组 件 ， 
不 可 一 味 地 将 所 有 的 网 络 组 件 添加 到 系统 中 ， 这 样 会 严重 影响 网 络 的 性 能 。 因 为 这 些 网 络 
组 件 的 功能 在 系统 启动 时 都 会 自动 加 载 ， 不 但 占用 大 量 的 系统 资源 ， 而 且 能 对 网 络 的 正常 
通信 产生 干扰 。 

同 其 他 网 络 组 件 一 样 ,安装 不 必要 的 网 络 协议 也 会 影响 网 络 的 性 能 。 对 于 一 般 的 网 络 ， 
只 需 使 用 TCP/IP 协议 即 可 。 如 果 需 要 连接 其 他 计算 机 系统 ， 可 以 选择 相应 的 协议 。 例 如 ， 
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要 连接 NetWare 网 络 , 可 以 添加 IPX/SPX 协议 。 另 外 , 协议 与 网 络 的 绑 定 顺 序 也 需要 考虑 。 
管理 员 应 将 主要 的 网 络 协议 放 在 绑 定 顺序 的 最 前 面 。 例如 , 在 网 络 中 使 用 TCP/IP 协议 进行 
网 络 连接 和 数据 传送 的 机 会 比 利 用 IPX/SPX 协议 进行 连接 和 数据 传送 多 时 , 可 以 将 TCP/ 人 P 
协议 放置 在 绑 定 顺序 的 首要 位 置 。 


9.6 网 络 故障 和 排除 


网 络 和 单机 最 大 的 不 同 是 牵 一 发 而 动 全 身 ， 一 台 单机 上 的 问题 很 可 能 映射 到 网 络 中 的 
某 个 环节 ， 甚 至 破坏 全 部 的 网 络 运转 。 本 节 针 对 网 络 故障 进行 介绍 ， 并 介绍 故障 排除 的 思 
路 和 方法 。 


9.6.1 网 络 常见 故障 概述 


引起 网 络 出 现 故 障 的 因素 有 多 种 ， 但 总 的 来 说 可 以 分 为 硬件 故障 和 软件 故障 两 大 类 。 
下 面 简单 介绍 常见 的 硬件 和 软件 故障 种 类 。 

表 9.1 列 出 了 常见 的 硬件 故障 ， 实 际 的 网 络 统计 结果 表明 ， 硬 件 问题 中 出 现 最 多 的 是 
网 线 制作 方法 不 当 或 网 线 接头 处 制作 不 良 。 这 些 问题 看 似 简单 却 最 容易 出 问题 ， 在 网 络 故 
障 检查 时 应 列 为 首先 检查 的 对 象 。 


表 9.1 硬件 故障 


故障 种 类 原 因 

网 线 接头 制作 不 良 ， 网 线 接头 部 位 或 中 间 线 路 部 位 有 断 线 

设备 本 身 网 卡 质 量 不 良 或 有 故障 ; 网 卡 和 主板 PCI 插 档 没有 插 牢 ， 从 而 导致 接触 不 良 ; 网 卡 和 网 
问题 线 的 接口 存在 问题 

集线器 质量 不 良 集线器 供电 不 良 ; 集线器 和 网 线 的 接口 接触 不 良 

交换 机 质量 不 良 ， 交 换 机 和 网 线 接触 不 良 ， 交换 机 供电 不 良 

网 卡 和 网 卡 之 间 发 生 中 断 请求 和 _ IO 地 址 冲突 

网 卡 和 显卡 之 间 发 生 中 断 请 求 和 _IO 地址 冲突 

网 卡 和 声卡 之 间 发 生 中 断 请 求 和 _IO_ 地址 冲突 


软件 安装 或 设置 不 当 引起 网 络 故障 方面 的 情况 见 表 9.2。 
表 9.2 软件 问题 
故障 种 类 原 因 
驱动 程序 和 操作 系统 不 兼容 
驱动 程序 之 间 的 资源 冲突 
驱动 程序 和 主板 BIOS 程序 不 兼容 
设备 驱动 程序 没有 安装 好 ， 引 起 设备 不 能 正常 工作 


设备 之 间 
问题 


设备 驱动 程序 方面 的 问题 


没有 安装 相关 网 络 协议 
网 络 协议 方面 的 问题 网 络 协议 和 网 卡 绑 定 不 当 
网 络 协议 的 具体 设置 不 当 
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续 表 


故障 种 类 原 因 


相关 网 络 服务 方面 的 问题 主要 指 的 是 在 Windows 操作 系统 中 共享 文件 


人 和 打印 机 方面 的 服务 ， 即 要 安装 Microsoft 文件 和 打印 共享 服务 
在 对 等 网 中 ， 只 需 使 用 系统 默认 的 Microsoft 友好 登录 即 可 ， 但 是 若 要 

vs 登录 Windows NT 域 ， 就 需要 安装 Microsoft 网 络 用 户 

在 Windows 98/2000 和 XP 中 ， 甚 至 是 在 NT 或 者 2000 的 域 中 ， 如 果 
网 络 表示 方面 的 问题 没有 正确 设置 用 户 计算 机 在 网 络 中 的 网 络 标识 , 很 可 能 会 导致 用 户 之 间 

不 能 相互 访问 

这 些 问题 和 用 户 的 设置 无 关 , 但 和 用 户 的 某 些 操作 有 关 ， 如 大 量 用 户 访 
其 他 问题 问 网 络 会 造成 网 络 拥挤 甚至 阻塞 、 用户 使 用 某 些 网 络 密集 型 程序 造成 的 


网 络 阻塞 


由 软件 设置 引起 的 局 域 网 不 通 的 问题 中 ， 最 常见 的 是 TCP/IP 协议 中 的 人 P 地 址 设置 不 
当 导 致 的 网 络 不 通 ， 其 次 是 网 络 标识 不 当 引 起 的 相互 之 间 无 法 访问 。 


9.6.2 网络 故障 排除 的 思 


引起 网 络 不 通 的 因素 有 很 多 种 ， 如 果 面 对 故 障 现象 茫然 无 措 ， 会 在 解决 网 络 问题 时 浪 
费 大 量 的 时 间 和 精力 ， 所 以 需要 按照 一 定 的 思路 和 方法 来 对 故障 原因 进行 一 一 排除 ， 最 后 
将 故障 原因 准确 定位 ， 从 而 在 解决 网 络 问题 时 事半功倍 。 

具体 排除 思路 是 先 询 问 、 观 察 故障 时 间 和 原因 ， 然 后 动手 检查 硬件 和 软件 设置 ， 而 动 
手 (观察 和 检查 ) 则 要 遵循 先 外 (网 间 连 线 ) 后 内 (单机 内 部 )、 先 硬 (硬件 ) 后 软 (软件 ) 的 次 序 。 
由 于 目前 使 用 星 型 网 络 的 情况 最 多 ， 在 此 以 星 型 网 络 为 例 介 绍 网 络 故障 的 排除 思路 。 具 体 
来 说 ， 排 除 网 络 故 障 时 应 该 按照 以 下 顺序 来 进行 。 

(1) 询问 。 应 该 询问 用 户 最 后 一 次 网 络 正常 的 时 间 ， 从 上 次 正常 到 这 次 故障 之 间 机 器 
的 硬件 和 软件 都 有 过 什么 变化 与 进行 过 哪些 操作 ， 是 否 是 由 于 用 户 的 操作 不 当 引起 网 络 故 
障 ， 根 据 这 些 信 息 快 速 地 判断 故障 的 可 能 所 在 。 因 为 有 很 多 网 络 问题 实际 上 和 网 络 硬件 本 
身 没有 什么 关系 ， 大 多 数 是 由 于 网 络 用 户 对 计算 机 进行 误 操作 造成 的 。 用 户 极 有 可 能 安装 
了 会 引起 问题 的 软件 、 误 删除 了 重要 文件 或 改动 了 计算 机 的 设置 ， 这 些 都 很 有 可 能 引起 网 
络 故障 ， 对 于 这 些 故 障 只 需 进 行 一 些 简单 的 设置 或 者 恢复 工作 即 可 解决 。 如 果 网 络 中 有 硬 
件 设备 被 动 过 ， 就 需要 检查 被 动 过 的 硬件 设备 。 例 如 ， 若 网 线 被 换 过 ， 就 需要 检查 网 线 类 
型 是 否 正 确 ，PC 到 集线器 或 交换 机 应 使 用 直通 线 ， 而 不 是 级 联 交 叉 线 或 反 转 线 。 

(2) 检查 。 上 述 询问 工作 完成 后 ， 就 需要 进行 相关 事项 的 检查 ， 检 查验 证 网 络 物理 设 
备 是 否 工 作 正 常 。 排 除 故障 应 该 先 排除 物理 层 的 因素 ， 也 就 是 要 先 排除 网 线 、 网 线 接头 、 
集线器 或 交换 机 的 物理 故障 因素 。 如 果 这 些 因素 不 排除 ， 而 先 从 网 卡 方面 或 协议 设置 上 找 
原因 尝试 修改 设置 ， 很 有 可 能 原来 的 故障 没有 解决 ， 反 而 造成 新 的 人 为 故障 。 

QD 首先 要 检查 共同 的 通道 。 例 如 ， 检 查 使 用 相同 集线器 或 交换 机 的 计算 机 网 络 是 否 
正常 。 如 果 都 不 正常 ， 则 可 能 是 集线器 或 交换 机 故障 ， 如 果 其 他 都 正常 只 有 故障 机 不 正常 ， 
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和 从 | 则 可 以 先 从 正常 机 上 拔 下 网 线 ， 给 故障 机 使 用 ， 检 查 它 是 否 正 常 。 如 果 正 常 ， 说 明 可 能 是 
机 | 故障 机 所 连接 的 集线器 或 交换 机 口 故障 ， 但 是 这 种 可 能 性 较 小 ， 很 有 可 能 是 网 线 故 障 ， 此 
络 | 时 可 以 使 用 万 用 表 检 测 网 线 的 连通 性 ， 如 果 网 线 不 通 ， 可 以 使 用 压 线 钳 重新 压 紧 水 晶 头 或 
信 | 者 剪 掉 原来 的 水 晶 头 重新 制作 。 如 果 网 线 正 常 ， 说 明 集线器 或 交换 机 的 端口 有 问题 。 大 多 
学 | 数 的 网 络 故障 都 是 由 物理 层 的 故障 引起 的 。 


六 @， 如 果 检 查 了 网 络 的 物理 层 后 ， 没 有 发 现 问 题 ， 那 么 接 下 来 就 要 进行 网 络 的 数据 链 
路 层 的 检查 。 数 据 链 路 层 涉 及 的 设备 有 网 卡 和 交换 机 。 对 于 网 卡 ， 需 要 检查 其 工作 状态 与 
设置 参数 是 否 正常 ， 对 于 交换 机 ， 如 果 是 有 设置 的 交换 机 ， 就 需要 验证 交换 机 设置 的 正确 
性 ， 因 为 极 有 可 能 是 有 人 将 交换 机 的 设置 做 了 错误 的 修改 ， 导 致 交 换 机 的 部 分 端口 不 能 正 
常 工作 ， 从 而 导致 网 络 出 现 故 障 。 

每 个 网 卡 都 有 其 确定 的 设置 参数 , 容易 出 现 问题 的 地 方 是 网 卡 “ 中 断 请 求 ” IRQ) 设 置 、 
基本 IO 端口 地 址 和 存储 器 地 址 。 如 果 这 些 方面 出 现任 何 差错 ， 或 与 工作 站 或 终端 中 其 他 
设备 产生 冲突 ，NIC 即使 能 工作 ， 也 无 法 连续 工作 。 一 般 情况 下 ， 计 算 机 有 16 个 耻 Q 号 。 
将 这 些 IRQ 号 分 配给 不 同 设 备 ， 如 表 9.3 所 示 。 在 设备 发 出 中 断 请 求 时 ， 就 可 向 处 理 器 发 
出 中 断 请 求 信 号 。IO 端口 地 址 作为 处 理 器 和 设备 之 间 所 有 信息 传输 的 通道 。 

表 9.3 IRQ 号 与 设备 对 应 表 
IRQ 号 码 设备 类 型 
00 系统 计时 器 
01 键盘 
02 可 编程 中 断 控制 器 
03 通信 端口 2 或 4 
04 通信 端口 1 或 3 
05 打印 机 端口 2LPT2) 或 开放 
06 软盘 控制 器 
07 打印 机 端口 1(LPTD 
08 实时 时 钟 
09 从 人 RQ 重 定向 或 开放 
10 开放 
11 开放 
12 PS/2 标 端口 或 开放 
13 算术 协 处 理 器 
14 IDE 硬盘 驱动 器 控制 器 
15 IDE 硬盘 驱动 器 控制 器 或 开放 

@@ ”如果 检查 了 网 络 的 数据 链 路 层 后 ， 没 有 发 现 问题 ， 接 下 来 就 需要 检查 网 络 层 和 传 

输 层 。 


首先 要 验证 是 否 正确 设置 TCP/IP 协议 ， 诸 如 人 P 地 址 、 子 网 掩 码 、 默 认 网 关 、DNS、 
WINS 设置 等 的 正确 性 都 需要 验证 ， 因 为 这 些 参数 都 极 有 可 能 被 他 人 误 修改 。 


第 9 音 ， 计 算 机 网 络 管理 与 维护 攻 机 @@ 


验证 网 络 协议 是 否 被 正确 加 载 ， 这 需要 到 DOS 的 COMMAND 窗口 下 输入 “Ping 
127.0.0.1”， 如 果 Ping 不 通 ， 则 需要 逢 载 TCP/IP 协议 ， 然 后 重新 安装 设置 ; 如 果 返 回 正确 
的 测试 结果 ， 如 图 9.5 所 示 ， 则 表明 TCP/IP 协议 被 正确 加 载 。 


9.5 返回 正确 的 测试 结果 


接 下 来 需要 使 用 Ping 验证 网 关 是 否 能 连通 ,如 果 网 关 不 能 连通 则 表明 本 地 链 路 方面 有 
故障 , 网 关 如 果 能 Ping 通 , 则 需要 进一步 Ping 目的 计算 机 的 他 地 址 , 如 果 Ping 不 通 的 话 ， 
则 可 能 是 目的 计算 机 未 开机 或 目的 计算 机 链 路 方面 有 网 络 故障 。 

@ 如果 目的 计算 机 能 Ping 通 ， 但 是 网 络 应 用 层 的 程序 却 不 能 连通 ， 则 需要 检查 防火 
墙 的 参数 设置 与 加 载 的 设置 是 否 正确 , 还 需要 检查 相关 网 络 应 用 程序 的 参数 设置 是 否 正 确 。 

上 述 的 故障 排除 方法 也 适用 于 交换 机 、 路 由 器 之 类 的 网 络 硬件 设备 的 故障 排除 ， 只 是 
路 由 器 级 别 的 网 络 硬件 设备 故障 排除 需要 涉及 更 多 的 故障 排除 方法 与 手段 。 但 无 论 哪 一 方 
面 网 络 故 障 的 排除 ， 都 需要 用 户 对 网 络 基 础 知识 进行 全 面 、 正 确 的 掌握 ， 这 将 有 助 于 正确 、 
快速 地 排除 网 络 故障 。 

由 于 PCI 的 设备 都 支持 PNP 功能 , 因此 PCI 设备 可 以 自动 检测 并 设置 没有 使 用 的 中 断 
与 地 址 ， 所 以 一 般 不 会 出 现 中 断 与 地 址 的 冲突 。 冲 突 往 往 发 生 在 同时 使 用 PCI 与 ISA 设备 
的 机 器 中 ， 这 时 需要 在 CMOS 中 为 ISA 设备 设置 并 保留 其 预 设 的 中 断 与 地 址 ， 然 后 让 PCI 
设备 自己 检测 并 设置 自己 的 中 断 与 地 址 。 当 然 也 可 以 使 用 ISA 设备 自 带 的 设置 程序 进行 中 
断 与 地 址 的 修改 。 

127.0.01 的 他 地 址 被 规定 为 环 路 测试 地 址 (Loop Back), 目标 地 址 为 127.0.0.1 的 包 不 会 
被 送 到 本 机 上 的 网 络 设备 ， 而 是 被 送 到 本 机 的 Loop back 驱动 器 上 去 。 此 IP 地 址 用 来 检测 
TCP/IP 协议 组 是 否 正常 工作 。 


9.6.3 局域网 故障 与 排除 


1. 局 域 网 网 络 故障 判断 


局 域 网 在 构建 和 使 用 时 ， 难 免 出 现 故障 。 排 除 故障 、 优 化 系统 是 管理 局 域 网 最 基本 的 
工作 之 一 。 在 此 从 排除 故障 、 优 化 性 能 的 角度 出 发 ， 简 单 归纳 了 一 些 局 域 网 维护 及 优化 的 
经 验 和 技巧 ， 其 中 着 重 讨 论 了 网 卡 、 网 线 的 正确 安装 、 合 理 设置 等 问题 。 了 解 这 些 ， 有 助 


LE 
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于 更 好 地 去 维护 计算 机 、 管 理 网 络 ， 从 而 更 好 地 利用 网 络 去 开展 工作 。 

1) ”有 故障 时 先 查 网 卡 

在 局 域 网 中 , 遇 到 网 络 不 通 时 ,首先 认真 检查 各 连 入 网 络 的 机 器 中 网 卡 设置 是 否 正常 。 
检查 时 ， 可 以 用 鼠标 依次 打开 【控制 面板 】| 【系统 】| 【设备 管 理 】| 【网络 适配器 】 设 置 窗 
口 ， 在 该 窗口 中 检查 一 下 有 无 中 断 号 及 IO 地 址 冲突 (最 好 将 各 台 机 器 的 中 断 设 为 相同 ， 以 
便 对 比 )， 直 到 网 络 适 配器 的 属性 中 出 现 【 该 设备 运转 正常 】， 并 且 在 【网 上 邻居 】 中 至 少 
能 找到 自己 ， 说 明 网 卡 的 配置 没有 问题 。 

2) ”确认 网 线 和 网 络 设备 工作 正常 

当 检 查 网 卡 没有 问题 时 ， 此 时 可 以 通过 网 上 邻居 来 查看 网 络 中 的 其 他 计算 机 ， 如 果 还 


不 能 看 到 网 络 中 的 其 他 机 器 ， 说 明 可 能 是 由 于 网 络 连 线 中 断 。 网 络 连 线 故障 通常 包括 网 络 


线 内 部 断裂 ， 双 绞 线 、RJ-45 水 晶 头 接触 不 良 ， 或 者 是 网 络 连接 设备 本 身 质量 有 问题 ， 或 是 
连接 有 问题 。 这 时 ， 可 以 使 用 测 线 仪 来 检测 一 下 线路 是 否 断 裂 ， 然 后 用 蔡 代 法 来 测试 一 下 
网 络 设备 的 质量 是 否 有 问题 。 在 网 线 和 网 卡 本 身 都 没有 问题 的 情况 下 ， 再 看 一 看 是 否 软件 
设置 方面 的 原因 ， 如 果 中 断 号 不 正确 也 有 可 能 导致 故障 出 现 。 

3) “检查 驱动 程序 是 否 完好 

对 硬件 进行 了 检查 和 确认 后 ， 再 检查 驱动 程序 本 身 是 否 损坏 ， 如 果 没 有 损坏 ， 看 看 安 
装 是 否 正确 。 如 果 这 些 可 以 判断 正常 ， 设 备 也 没有 冲突 ， 就 是 不 能 连 入 网 络 ， 这 时 可 以 将 
网 络 适 配器 在 系统 配置 中 删除 ， 然 后 重新 启动 计算 机 ， 系 统 就 会 检测 到 新 硬件 的 存在 ， 然 
后 自动 寻找 驱动 程序 再 进行 安装 。 

4) ”正确 对 网 卡 进行 设置 

在 确定 网 络 介 质 没 有 问题 但 还 是 不 能 接 通 的 情况 下 ， 再 返回 网 卡 设置 中 ， 看 看 是 否 有 
设备 资源 冲突 ， 有 许多 时 候 冲 突 也 不 是 都 有 提示 的 。 

为 解决 这 种 设备 的 冲突 ， 可 以 按照 以 下 操作 步骤 来 进行 设置 ， 首 先 在 设置 窗口 中 将 
COM2 屏蔽 ， 并 强行 将 网 卡 中 断 设 置 为 3， 如 果 遇 到 PCI 接口 的 网 卡 和 显卡 发 生 冲 突 时 ， 
可 以 采用 不 分 配 RQ 给 显卡 的 办 法 来 解决 ， 就 是 将 CMOS 中 的 Assign IRQ for VGA 一 项 
设置 为 “Disable”。 

5) ”禁用 网 卡 的 PnP 功能 

有 的 网 卡 虽然 支持 PnP 功能 ， 但 安装 好 后 发 现 并 不 能 好 好 地 工作 ， 甚 至 不 能 工作 。 为 
此 ， 可 以 采用 屏蔽 网 卡 的 PnP 功能 的 方法 来 解决 这 一 故障 。 要 想 禁 用 网 卡 的 PnP 功能 ， 就 
必须 运行 网 卡 的 设置 程序 (一 般 在 驱动 程序 包 中 )。 在 启动 设置 程序 后 ， 进 入 设置 菜单 。 禁 
用 网 卡 的 PnP 功能 ， 并 将 可 以 设置 的 人 RQ 一 项 修改 为 一 个 固定 的 值 。 保存 该 设置 并 退出 设 
置 程序 ， 这 样 如 果 没 有 其 他 的 设备 占用 该 了 下 Q， 可 以 保证 不 会 出 现 人 RQ 冲突 。 

另外 ， 如 果 要 安装 Windows 98/2000/XP 操作 系统 ， 必 须 保证 操作 系统 不 会 将 对 应 的 中 
断 类 型 作为 具有 PnP 功能 的 人 RQ 进行 处 理 , 所 以 要 在 CMOS 中 将 该 中 断 的 类 型 由 PCLISA 
PnP 修改 为 Legacy ISA。 使 用 该 方法 可 以 解决 大 多 数 PnP 网 卡 的 设备 冲突 问题 ， 但 不 一 定 
对 所 有 的 PCI 网 卡 都 有 效 ， 因 为 有 些 网 卡 的 设置 程序 根本 就 不 提供 禁用 PnP 功能 选项 。 

6) ”合理 设置 服务 器 的 硬盘 

使 用 局 域 网 办 公 的 用 户 ， 经 常会 使 用 网 络 来 打印 材料 和 访问 文件 。 由 于 某 种 原因 ， 网 
络 访问 的 速度 可 能 会 不 正常 ， 这 时 往往 会 错误 地 认为 导致 网 速 降低 的 原因 可 能 是 网 络 中 的 
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某 些 设 备 发 生 了 瓶颈 ， 如 网 卡 、 交 换 机 、 集 线 器 等 ， 其 实 对 网 速 影响 最 大 的 还 是 服务 器 硬 
盘 的 速度 。 因 此 正确 地 配置 好 局 域 网 中 服务 器 的 硬盘 ， 将 对 整个 局 域 网 中 的 网 络 性 能 有 很 
大 的 改善 。 通 常 ， 在 设置 硬盘 时 需要 考虑 以 下 几 个 因素 。 

(1) 服务 器 中 的 硬盘 应 尽量 选择 转速 快 、 容 量 大 的 ， 因 为 硬盘 转速 快 ， 通 过 网 络 访问 
服务 器 上 的 数据 的 速度 也 越 快 。 

(2) 服务 器 中 的 硬盘 接口 最 好 是 SCSI 型 号 的 , 因为 该 接口 比 IDE 或 EIDE 接口 传输 数 
据 时 速度 要 快 ， 它 采用 并 行 传输 数据 的 模式 来 发 送 和 接收 数据 。 在 同一 SCSI 通道 , 不 要 将 
低速 SCSI 设备 (如 CD) 与 硬盘 共用 ， 否 则 硬盘 的 SCSI 接口 高 速 传输 数据 的 性 能 将 得 不 到 
发 挥 。 

(3) 如 果 条 件 允 许 ， 可 以 给 网 络 服务 器 安装 硬盘 阵列 卡 ， 因 为 硬盘 阵列 卡 能 较 大 幅度 
地 提升 硬盘 的 读 写 性 能 和 安全 性 。 

7) ” 按 规则 进行 连 线 

连接 局 域 网 中 的 每 台 计算 机 都 是 用 双 绞 线 来 实现 的 ， 但 并 不 是 用 双 绞 线 把 两 台 计 算 机 
简单 地 相互 连接 起 来 就 能 实现 通信 目的 ， 而 是 必须 按照 一 定 的 连 线 规则 来 进行 连 线 。 双 绞 
线 的 连接 距离 不 能 超过 100m， 如 果 需 要 连接 超过 100m 的 两 台 计 算 机 时 ， 必 须 使 用 转换 
设备 。 

在 连接 转换 设备 和 交换 机 时 ， 还 必须 进行 跳 线 。 这 是 因为 以 太 网 中 ， 一 般 是 使 用 两 对 
双 绞 线 ， 排 列 在 1、2、3、56 的 位 置 ， 如 果 使 用 的 不 是 两 对 线 ， 而 是 将 原配 对 使 用 的 线 分 开 
使 用 , 就 会 产生 较 大 的 串扰 , 对 网 络 性 能 造成 较 大 影响 。 10Mb/s 网 络 环境 这 种 情况 不 明显 ， 
100Mb/s 的 网 络 环境 下 如 果 流 量 大 或 者 距离 长 ， 网 络 就 会 无 法 联通 。 

8) ”严格 执行 接地 要 求 

由 于 在 局 域 网 中 ， 传 输 的 都 是 一 些 弱 信号 ， 如 果 操 作 稍 有 不 当 或 者 没有 按照 网 络 设备 
的 具体 操作 要 求 来 办 ， 就 可 能 在 联网 中 出 现 干 扰 信 息 ， 严 重 的 可 能 导致 整个 网 络 不 通 ， 特 
别 是 一 些 网 络 转 接 设备 ， 由 于 涉及 远程 线路 ， 因 此 对 接地 的 要 求 非常 严格 ， 否 则 该 网 络 设 
备 将 达 不 到 规定 的 连接 速率 ， 从 而 在 联网 的 过 程 中 产生 各 种 莫名 其 妙 的 故障 现象 ， 给 工作 
带 来 很 大 的 麻烦 。 

9) ”使 用 质量 好 、 速 度 快 的 新 式 网 卡 

局 域 网 中 出 现 的 故障 大 部 分 与 网 卡 有 关 ， 或 者 是 网 卡 没有 正确 安装 好 ， 或 者 是 网 络 线 
接触 不 良 ， 也 有 可 能 是 网 卡 比较 旧 ， 不 能 被 计算 机 正确 识别 ， 另 外 也 有 的 网 卡 安装 在 服务 
器 中 ， 经 受 不 住 大 容量 数据 的 冲击 ， 最 终 报废 等 。 

因此 ， 为 避免 上 述 的 现象 发 生 ， 一 定 要 舍得 投资 ， 如 果 网 卡 是 安装 在 服务 器 中 ， 一 定 
要 使 用 质量 好 的 网 卡 ， 因 为 服务 器 一 般 都 是 不 间断 运行 ， 只 有 质量 好 的 网 卡 才能 长 时 间 进 
行 “ 工 作 ”。 另 外 ， 由 于 服务 器 传输 数据 的 容量 较 大 ， 因 此 购买 的 网 卡 容量 必须 与 之 匹配 ， 
这 样 才能 实现 “好 马 配 好 鞍 ”。 


2. 局 域 网 常见 的 故障 排除 概述 


出 现 局 域 网 故障 不 要 慌张 ， 只 要 按照 系统 的 层次 化 结构 来 进行 排除 ， 一 层 一 层 解决 ， 
检查 完 服务 器 再 检查 客户 端 ， 就 一 定 能 够 找 出 问题 的 原因 并 加 以 解决 。 


算 1) ”故障 检测 第 一 步 Ping 
机 Ping 命令 在 网 络 故 障 排除 中 是 非常 有 用 的 一 个 工具 ， 往 往 作为 网 络 管理 员 探测 故障 原 
内 因 的 首选 。 当 Ping 一 台 主机 时 实际 上 是 向 那 台 主机 发 出 了 一 个 ICMP 数据 包 ， 而 ICMP 协 
信 | 议 又 是 在 TCP/IP 协议 中 的 第 二 层 ntemet 层 。 当 一 台 客户 端 无 法 享受 服务 器 提供 的 服务 时 
息 | 可 以 首先 试 着 Ping 一 下 服务 器 的 也 地址， 如 果 能 够 Ping 通 ， 而 且 没有 丢 包 现象 ， 那 么 就 
全 | 可 以 确定 mntemet 以 及 它 以 下 的 各 层 都 是 没有 问题 的 ,这样 就 可 以 将 检测 问题 的 主要 精力 放 
-| 在 应 用 层 ， 试 着 去 找 出 其 中 的 问题 所 在 。 

如 果 Ping 不 通 或 Ping 通 了 但 有 丢 包 现象 , 那么 就 可 以 先 将 问题 锁定 在 Intemet 层 和 网 
络 接口 层 ， 首 先 解决 这 两 层 的 问题 ， 再 看 上 层 是 否 有 问题 。 

2) ”网 络 接口 层 故障 排除 

当 出 现 网 络 故障 时 ， 可 以 在 客户 端 首先 使 用 Ping 命令 ，Ping 服务 器 的 人 P 地 址 ， 如 果 
Ping 通 ， 证 明 故障 肯定 不 在 网 络 接口 层 ， 如 果 Ping 不 通 或 Ping 通 了 但 有 丢 包 现象 ， 问 题 
可 能 出 现在 网 络 接口 层 或 mtemet 层 ， 但 根据 层次 结构 ， 首 先 应 该 检查 的 还 是 网 络 接口 层 ， 
首先 排除 了 网 络 接口 层 的 问题 后 ， 再 进行 后 续 的 检查 ， 网 络 接口 层 最 有 可 能 出 现 问题 的 地 
方 是 网 线 、 集 线 器 、 网 卡 、 交 换 机 ， 检 测 时 按照 此 顺序 进行 。 

3) 网线 问题 

网 络 中 的 计算 机 互相 连接 都 需要 网 线 ， 而 网 线 也 处 在 整个 层次 结构 中 的 最 低层 ， 也 是 
最 容易 出 问题 的 地 方 。 因 此 必须 首先 了 解 网 线 的 种 类 以 及 连接 设备 使 用 网 线 的 情况 后 ， 才 


可 以 排除 网 线 的 故障 。 

4) ”网 线 种 类 

(1) 直通 线 (标准 568B)。 两 端 线 序 一 样 ， 线 序 是 : 白 橙 ， 橙 ， 白 绿 ， 蓝 ， 白 蓝 ， 绿 ， 
白 棕 ， 棕 。 

(2) 交叉 缆 ( 标 准 568A)。 一 端 为 直通 缆 的 线 序 ， 另 一 端 为 : 白 绿 ， 绿 ， 白 橙 ， 蓝 ， 白 
蓝 ， 橙 ， 白 棕 ， 棕 。 


5) ”设备 连接 使 用 网 线 情况 

(1) PC-PC: 交叉 缆 。 

(2) PC-Hub: 直通 缆 。 

(3) Hub-Hub 普通 口 : 交叉 缆 。 

(4) Hub-Hub 级 联 口 -级 联 口 : 交叉 缆 。 
(5) Hub-Hub 普通 口 -级 联 口 : 直通 缆 。 
(6) Hub-SWITCH: 交叉 缆 。 

(7) Hub- 级 联 口 SWITCH: 直通 缆 。 
(8) SWITCH-SWITCH: 交叉 缆 。 

(9) SWITCH-ROUTER: 直通 缆 。 

(10) ROUTER-ROUTER: 交叉 缆 。 

(11) 100Base-T 连接 双 绞 线 ， 以 100Mb/s 的 EIA/TIA 568B 作为 标准 规格 。 


3. 常见 网 络 故 障 及 排除 

1) ”网 线 问 题 

(1) 网 线 用 错 。 

故障 原因 : 通过 上 面 的 讲解 得 知 直 通 缆 和 交叉 缆 在 不 同 设备 之 间 的 应 用 ， 如 果 安 装 线 
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缆 或 布线 的 时 候 用 错 网 线 就 会 导致 网 络 不 通 。 

查找 方法 : 如 果 网 线 裸露 在 外 ， 只 要 把 网 线 的 两 头 对 在 一 起 就 能 很 容易 发 现 此 网 线 是 
直通 缆 还 是 交叉 缆 。 如 果 网 线 已 经 布 好 就 需要 测 线 仪 来 进行 测量 了 。 

解决 方法 : 发 现 网 线 用 错 了 就 换 一 根 对 的 网 线 ， 如 果 布 好 的 网 线 用 错 了 ， 就 需要 将 某 
一 头 接 一 根 转 接线 或 转 接头 ， 将 错误 的 网 线 转换 成 正确 的 线 序 。 

(2) 网 线 折断 。 

故障 原因 : 当 网 络 不 通 时 ， 有 可 能 是 网 线 折断 或 接触 不 良 。 

查找 方法 : 用 电缆 /光缆 测试 仪 测量 电缆 或 光缆 的 连通 状况 和 属性 的 其 他 信息 。 

数字 万 用 表 : 测量 经 过 电缆 的 电 脉冲 ， 确 定 电缆 是 否 有 短路 或 断路 。 

时 域 反 射 器 (TDR): 可 利用 声 脉 冲 找 出 电缆 的 断 点 位 置 。 

解决 方案 找到 折断 的 网 线 ， 将 此 网 线 蔡 换 。 

2) ”集线器 问题 

如 果 通 过 上 面 的 检测 ， 证 明 连 接客 户 端 和 服务 器 的 网 线 没有 问题 ， 那 么 下 一 个 检测 目 
标 就 会 锁定 在 集线器 上 。 集 线 器 的 作用 是 把 网 线 集中 连接 在 一 起 ， 所 以 如 果 集线器 有 问题 
网 络 自然 也 就 不 会 通畅 。 

集线器 损坏 。 

故障 原因 : 当 集 线 器 损坏 时 ， 连 接 在 集线器 上 的 所 有 计算 机 都 无 法 进行 通信 。 

查找 方法 : 确保 网 线 没有 问题 后 ， 如 果 客 户 端 还 Ping 不 通 服务 器 ， 首 先 测试 其 客户 端 
是 否 能 够 Ping 通 服务 器 ， 如 果 其 客户 端 能 够 Ping 通 服务 器 ， 证 明 集线器 没有 问题 ， 如 果 
Ping 不 通 证 明 问 题 也 许 出 在 集线器 。 再 测试 连接 在 此 集线器 上 的 其 他 客户 端 是 否 能 够 互相 
Ping 通 ， 如 果 能 够 Ping 通 ， 证 明 此 集线器 没有 问题 ， 问 题 可 能 出 在 其 他 方面 。 如 果 其 他 客 
户 端 都 彼此 Ping 不 通 ， 那 么 证 明 问题 就 出 现在 本 地 集线器 。 

解决 方案 如 果 确 定 是 集线器 的 问题 ， 解 决 方案 就 是 更 换 一 个 好 的 集线器 。 

故障 原因 : 当 集 线 器 的 某 个 端口 损坏 ， 此 端口 连接 的 计算 机 就 无 法 与 其 他 计算 机 通 
信 了 。 

查找 方法 : 如 果 通 过 上 面 的 方法 证 明 集线器 没有 损坏 ， 但 本 地 客户 端 还 是 无 法 Ping 通 
服务 器 ， 就 可 以 尝试 使 用 其 客户 端 Ping 本 地 客户 端 ， 如 果 集 线 器 上 所 有 其 他 客户 端 都 能 够 
互相 Ping 通 ， 而 他 们 却 都 无 法 连接 到 本 地 客户 端 ， 而 本 地 客户 端 也 连接 不 到 其 任何 一 台 机 
器 ， 就 可 以 证 明 是 此 计算 机 连接 到 的 集线器 的 端口 损坏 或 接触 不 良 。 

解决 方案 : 找到 此 计算 机 在 集线器 上 的 网 络 连 线 ， 重 新 插 好 ， 如 果 故 障 依旧 存在 ， 就 
可 将 此 计算 机 的 网 络 连 线 换 一 个 端口 ， 或 更 换 一 个 集线器 。 

3) 网卡 问 题 

如 果 通 过 上 面 的 测试 ， 证 明 网 线 和 集线器 都 没有 问题 ， 那 么 下 一 个 需要 测试 的 对 象 就 
是 网 卡 。 网 卡 是 网 络 接口 层 的 另 一 个 核心 组 件 ， 不 论 是 服务 器 还 是 客户 端的 网 卡 损坏 ， 损 
坏 任意 一 端的 计算 机 都 无 法 发 送 和 接收 任何 信息 。 

(1) 网 卡 端口 接触 不 良 。 

故障 原因 : 客户 端 或 服务 器 的 网 卡 端口 接触 不 好 ， 所 以 有 一 方 无 法 进行 通信 。 

查找 方法 : 确定 网 线 、 集 线 器 都 没有 问题 后 ， 如 果 客 户 端 还 Ping 不 通 服 务 器 ， 首 先 测 
试 本 地 客户 端的 网 卡 , 再 测试 服务 器 的 网 卡 。 首先 在 客户 端 上 确定 其 人 P 地 址 设置 没有 问题 


然后 重新 插 一 下 连接 的 网 线 ， 查 看 其 他 计算 机 能 否 Ping 通 本 地 客户 端 ， 如 果 可 以 ， 再 用 本 
地 客户 端 Ping 服务 器 ， 如 果 成 功 证 明 客 户 端的 网 卡 有 问题 。 

如 果 通 过 前 面 的 实验 发 现 本 地 客户 端 能 够 与 其 他 计算 机 通信 ， 问 题 就 有 可 能 出 现在 服 
务 器 。 首 先 确 定 服务 器 的 人 P 地 址 配置 正确 ， 然 后 重新 插 一 下 连接 的 网 线 ， 查 看 其 他 计算 机 
能 否 Ping 通 服 务 器 ， 如 果 通 信 成 功 ， 证 明 服 务 器 的 网 卡 有 问题 。 

解决 方案 : 重新 插 拔 一 下 连接 的 网 线 。 

(2) 网 卡 损坏 。 

故障 原因 : 如 果 网 卡 的 芯片 损坏 ， 网 络 中 的 计算 机 自然 就 无 法 通信 。 

查找 方法 : 如 果 通 过 上 面 的 方法 ， 重 新 插 拔 网 卡 后 问题 依旧 存在 ， 首 先 在 客户 端 上 确 
定 其 人 P 地 址 配置 没 问 题 ， 然 后 更 换 一 块 网 卡 ， 查 看 其 他 计算 机 能 否 Ping 通 本 地 客户 端 ， 
如 果 可 以 再 用 本 地 客户 端 Ping 服务 器 ， 如 果 成 功 证 明 客户 端的 网 卡 芯片 有 问题 。 

如 果 通 过 前 面 的 实验 发 现 本 地 客户 端 能 够 与 其 他 计算 机 通信 ， 问 题 就 有 可 能 出 在 服务 
器 。 首 先 确定 服务 器 的 人 P 地 址 配置 正确 ， 然 后 更 换 一 块 网 卡 ， 查看 其 他 计算 机 能 否 Ping 
通 服务 器 ， 如 果 通 信 成 功 ， 证 明 服 务 器 的 网 卡 有 问题 。 

解决 方案 : 更 换 网 卡 。 

4) ”交换 机 问题 

在 现在 的 网 络 中 ， 集 线 器 往往 被 交换 机 替代 ， 这 样 虽然 增加 成 本 ， 但 是 网 络 的 整体 性 
能 会 有 很 大 提升 。 出 于 节省 成 本 考虑 ， 集 线 器 之 间 也 可 以 通过 交换 机 来 连接 ， 这 样 通信 速 
度 有 所 提高 ， 而 且 也 不 会 增加 太 多 成 本 。 所 以 一 旦 交换 机 出 现 问题 ， 查 找 和 处 理 起 来 要 比 
集线器 复杂 得 多 。 

(1) 交换 机 MAC 地 址 列表 有 问题 。 

故障 原因 : 交换 机 是 通过 内 置 的 MAC 地 址 列表 来 帮助 计算 机 之 间 通 信 的 ， 所 以 一 旦 
MAC 地 址 列表 出 现 问题 ,很 有 可 能 该 收 到 数据 的 计算 机 收 不 到 , 不 该 收 到 信息 的 计算 机 可 
能 会 收 到 ， 而 且 也 会 产生 丢 包 现象 。 

查找 方法 : 通过 Windows 内 置 的 Network Monitor 来 检测 是 否 能 够 收 到 不 该 收 到 的 


信息 。 
【 例 9.7】 选择 3 台 计算 机 ， 一 台 作 为 FTP 服务 器 ， 另 一 台 作 为 FTP 客户 端 ， 第 三 台 
作为 监视 客户 端 。 

步骤 如 下 : 

@ 首先 配置 好 FTP 服务 器 和 客户 端 ， 然 后 在 监视 客户 端 上 打开 【添加 删除 程序 〗 对 
话 框 ， 在 【添加 删除 Windows 组 件 】 中 选择 【管理 和 监视 程序 】 来 安装 网 络 监视 器 ， 在 监 
视 客户 端 上 局 动 网 络 监 视 器 。 

@ 转 到 FTP 客户 端 ， 以 用 户 “administrator” 连 接 FTP 服务 器 。 

@ 回 到 监视 客户 端 ， 停 止 并 显示 捕获 的 数据 。 

@ 选中 【显示 】〗，“ 筛 选 程序 ”对 捕获 到 的 数据 进行 筛选。 

Q@ 只 显示 FTP 和 Telnet 协议 数 据 ， 单 击 【确定 】 按 钮 。 

@ ”捕获 结果 ， 通 过 查找 FTP 协议 ， 可 以 发 现 Pass 后 面 就 是 刚才 访问 FTP 服务 器 用 
户 administrator 的 密码 “123456” 。 


交换 机 应 该 通过 其 MAC 地 址 列表 ， 将 通信 传输 限制 在 FTP 客户 端 和 服务 器 之 间 。 通 
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过 此 实验 可 以 看 到 ， 交 换 机 将 信息 发 送 给 了 不 该 发 送 的 计算 机 一 一 监视 客户 端 ， 所 以 证 明 
交换 机 MAC 地 址 列表 已 经 失败 。 

解决 方案 : 重新 启动 交换 机 ， 如 果 还 是 解决 不 了 ， 就 更 换 交换 机 。 

(2) 交换 机 损坏 。 

故障 原因 : 交换 机 整个 损坏 。 

查找 方法 : 跟 集线器 的 查找 方法 一 样 。 

解决 方案 : 更 换 交换 机 。 

5) ”Intemet 层 和 传输 层 故 障 排除 

如 果 通 过 上 述 方法 测试 ， 发 现 网 线 、 集 线 器 、 网 卡 、 交 换 机 都 没有 问题 ， 就 可 以 将 问 
题 检 测 提 到 解决 方案 mtemet 层 和 传输 层 。 

(1) 他 地 址 冲突 。 

故障 原因 : 如 果 在 网 络 中 发 生 两 台 计算 机 使 用 一 个 卫 地 址 的 情况 ， 那 么 这 两 台 计 算 机 
启动 后 ， 有 一 台 计 算 机 是 可 以 进行 正常 通信 的 ， 而 另 一 台 则 不 行 。 

查找 方法 : 如 果 一 台 计 算 机 人 P 地 址 已 经 配置 ， 但 不 能 跟 其 他 计算 机 通信 。 

需要 利用 Ipconfig 工具 查看 其 IP 地 址 的 真实 运行 状况 。 其 真正 的 IP 地 址 为 0.0.0.0， 
说 明 这 台 计 算 机 上 配置 的 他 地址 正 与 其 他 计算 机 的 地 址 发 生 冲 突 。 

如 果 此 计算 机 的 他 地 址 是 合法 的 ， 那么 证 明 其 他 计算 机 在 制作 恶意 冲突 。 可 以 在 其 他 
计算 机 上 用 Netstat 命令 查找 计算 机 。 在 其 他 正常 运行 的 计算 机 上 输入 Netstat -a 冲突 的 卫 
地 址 ， 就 可 以 找到 恶意 冲突 的 计算 机 。 

解决 方案 将 其 中 一 台 计算 机 另外 配置 一 个 合法 的 耳 地 址 。 

(2) 人 P 地址 配置 问题 。 

故障 原因 : IP 地 址 配置 不 符合 网 段 的 配置 要 求 ， 也 会 造成 不 能 跟 其 他 计算 机 通信 的 
故障 。 

查找 方法 : 如 果 通 过 Ipconfig 发 现 本 机 的 了 地址 并 没有 出 现 0.0.0.0 冲突 现象 , 可 以 检 
查 是 否 是 P 地 址 配置 问题 。 首 先 确 定 本 网 段 的 人 P 地 址 范围 ， 如 192.168.1.0。 然 后 在 客户 
机 上 再 次 运行 Ipconfig 工具 ， 查 看 其 IP 地 址 是 否 是 本 网 段 的 IP 地 址 ， 如 果 不 是 则 修改 本 
地 计算 机 的 他 地 址 。 

解决 方案 : 如 果 计 算 机 使 用 静态 的 人 P 地 址 ， 就 由 网 络 管理 员 来 为 此 计算 机 重新 配置 合 
法 的 本 网 段 的 全 地 址 。 如 果 计 算 机 是 DHCP 客户 端 , 就 在 此 计算 机 上 运行 pconfig/Release 
命令 来 释放 原 有 的 地 址 ， 再 运行 Ipconfig/Renew 重新 获得 合法 的 卫 地 址 。 

(3) 路 由 器 问题 。 

故障 原因 : 本 地 的 人 P 地 址 配置 正确 ， 服 务 器 的 PP 地 址 配置 也 正确 ， 但 因为 它们 不 在 
同一 个 网 段 ， 所 以 需要 路 由 器 来 传递 信息 ， 如 果 路 由 器 出 现 问题 ， 客 户 端 与 服务 器 一 样 不 
能 通信 。 

查找 方法 : 在 确定 服务 器 和 客户 端 双方 的 卫 地 址 配置 都 没有 问题 后 ， 首 先 使 用 Ping 
命令 查找 主机 ， 主 机 没有 回应 。 

解决 方案 : 联系 路 由 器 管理 员 ， 重 新 配置 路 由 器 的 信息 。 

6) ”应 用 层 故 障 排 除 

应 用 层 的 故障 可 谓 千 奇 百 怪 ， 因 为 应 用 层 的 软件 与 服务 器 有 成 千 上 万 种 ， 所 以 可 能 出 


现 的 问题 也 就 非常 多 。 在 这 里 不 可 能 将 所 有 的 问题 一 一 列举 出 来 ， 所 以 在 这 部 分 重点 来 解 
决 Windows 中 各 种 服务 容易 出 现 的 问题 。 

(1) DHCP 故障 排除 。 

DHCP 故障 虽然 是 在 应 用 层 的 服务 ， 但 实质 却 是 分 配 卫 地 址 ， 所 以 错误 往往 影响 的 是 
Intermet 层 ， 也 就 是 卫 地 址 故障 。DHCP 大 多 数 的 故障 现象 就 是 配置 好 客户 端 和 服务 器 后 
却 发 现 客户 端 不 能 获得 IP 地 址 。 但 引起 故障 现象 的 原因 却 可 能 有 很 多 种 。 

(2) 授权 问题 。 

故障 原因 : DHCP 服务 器 需要 经 过 授权 后 才能 启动 服务 ， 所 以 如 果 未 经 授权 服务 器 是 


| 不 能 分 配 卫 地 址 的 。 


解决 方案 : 如 果 发 现 DHCP 服务 器 未 经 授权 ， 就 必须 使 用 管理 员 身 份 打开 DHCP 服务 
器 控制 台 进行 授权 操作 。 

(3) 服务 器 端 了 地 址 问题 。 

故障 原因 : 检查 服务 器 已 经 经 过 授权 ， 而 且 作 用 域 已 经 被 激活 。 这 时 应 该 检查 作用 域 
的 地 址 范围 是 否 与 DHCP 服务 器 的 卫 地址 属于 一 个 地 址 范围 。 如 果 DHCP 服务 器 的 全 地 
址 与 作用 域 的 地 址 不 在 同一 个 网 段 内 ，DHCP 服务 器 也 是 不 能 分 配 PP 地 址 的 。 

解决 方案 : 将 DHCP 服务 器 的 I 了 P 地 址 改 为 与 作用 域 在 同一 个 网 段 。 

(4) 客户 端 配置 问题 。 

故障 原因 : ”DHCP 分 配 出 的 地 址 与 网 络 中 的 其 他 计算 机 有 冲突 ， 在 客户 端 上 显示 人 Pp 
地 址 为 0.0.0.0。 

解决 方案 :在 DHCP 服务 器 上 增加 冲突 检测 次 数 , 避免 分 配 在 网 络 上 已 存在 的 卫 地 址 。 

7) “DNS 故障 排除 

DNS 在 Windows 中 起 着 举足轻重 的 作用 ， 所 以 一 旦 DNS 服务 出 现 问题 可 能 影响 的 范 
围 就 会 很 广 。 DNS 出 现 问题 的 现象 大 多 是 上 不 去 网 ， 也 就 是 解析 不 到 远程 主机 的 人 P 地 址 。 
还 有 可 能 就 是 客户 端 不 能 登录 域 控制 器 ， 因 为 DNS 无 法 提供 服务 。 

(1) 服务 器 “.” 问 题 。 

故障 原因 : 很 多 网 络 管理 员 在 安装 或 升级 完 Windows 后 ， 经 常会 发 现 上 不 了 网 ， 其 主 
要 问题 就 是 在 安装 完 DNS 服务 后 都 会 自动 把 代表 根 域 的 “.” 加 上 ， 导 致 本 地 DNS 服务 器 
不 能 到 网 外 去 查询 , 客户 端 也 就 不 会 收 到 希望 解析 域名 的 他 地 址 , 也 就 无 法 访问 远程 主机 。 

解决 方案 : 在 服务 器 上 删除 “.” 根 域 后 故障 即 可 解决 。 

(2) 服务 器 网 关 问 题 。 

故障 原因 : 当 DNS 服务 器 只 能 提供 本 地 解析 服务 ， 而 无 法 提供 外 部 解析 服务 时 ， 可 以 
查看 一 下 DNS 服务 器 的 网 关 是 否 已 经 设置 ， 如 果 没 有 设置 ，DNS 无 法 到 外 网 去 作 转 寄 查 
询 ， 也 无 法 完成 客户 端 提交 的 外 部 主机 查询 请 求 。 

解决 方案 : 在 DNS 服务 器 上 设置 正确 的 网 关 地 址 。 

(3) DNS 的 SRV 记录 。 

故障 原因 : 当 客 户 端 启 动 后 却 无 法 找到 域 控制 器 ， 检 查 域 控制 器 一 切 正常 。 故 障 往往 
都 是 由 DNS 服务 器 上 的 SRV 记录 引起 的 。 

解决 方案 : 确定 域 服务 器 已 经 指向 相应 的 DNS 服务 器 ， 然 后 在 域 服务 器 上 找到 【管理 
工具 中 服务 】， 在 服务 中 右 击 NETLOGON， 选 择 重 新 启动 NETLOGON 服务 ， 重 新 注册 


第 9 音 计算 机 网 络 管理 与 维护 技 术 @@ 


SRV 记录 。 

(4) 客户 端 指 向 问题 。 

故障 原因 : 当 客户 端 无 法 解析 域名 时 ， 而 DNS 服务 器 一 切 正常 ， 故 障 通 常 出 在 客户 端 
没有 正确 的 配置 DNS 指向 。 

解决 方案 : 配置 合法 的 DNS 服务 器 地 址 。 

(5) 客户 端 缓存 问题 。 

故障 原因 : 当 某 台 计算 机 的 人 P 地 址 与 主机 域名 对 应 关系 发 生 更 改 时 , DNS 服务 器 已 经 
为 其 作 了 更 新 ， 而 其 计算 机 通过 自己 的 DNS 名 字 解 析 得 到 的 还 是 以 前 的 卫 地 址 ， 所 以 无 

解决 方案 : 由 于 客户 端 将 以 前 解析 过 的 DNS 名 字 放 在 自己 的 缓存 中 , 所 以 需要 在 客户 
端 上 运行 Ipconfig/Flushdns 清除 DNS 缓存 ， 这 样 就 能 通过 DNS 服务 器 重新 解析 新 的 IP 
地 址 。 

8) IIS 故障 排除 

当 访 问 不 到 网 站 时 ， 如 果 检 查 DNS 记录 没有 问题 ， 则 故障 有 可 能 是 在 IS 服务 器 上 ， 
也 有 可 能 是 客户 端正 浏览 器 的 问题 。 

(1) 服务 器 站 点 不 稳定 问题 。 

故障 原因 : 如 果 DNS 和 客户 端 配置 没有 问题 ， 那 么 故障 很 有 可 能 就 是 由 IS 本 身 的 不 
稳定 造成 的 。Windows 提供 的 IS 5.0 较 以 前 的 产品 稳定 性 有 了 很 大 的 提高 ， 但 是 如 果 IS 
服务 器 承载 的 网 站 过 多 ， 或 访问 量 过 大 时 ， 还 是 很 容易 引起 不 稳定 的 情况 发 生 。 

解决 方案 : 重新 启动 IS， 再 重新 启动 访问 不 到 的 Web 站 点 。 

(2) 客户 端 缓存 问题 。 

故障 原因 : 网 站 内 容 已 经 更 新 ， 但 是 客户 端 访问 的 还 是 旧 的 内 容 ， 那 么 故障 很 有 可 能 
就 是 客户 端的 缓存 问题 。 

解决 方案 : 在 客户 端的 【Intemet 选项 】|【 常 规 】 选 项 卡 中 单 击 删除 文件 。 再 选择 删除 
所 有 脱 机 内 容 ， 单 击 【 确 定 】 按 钮 清除 客户 端的 缓存 。 

以 上 简单 介绍 了 一 些 比较 典型 的 网 络 故 障 现象 及 其 排除 方法 ， 具 体 到 每 一 个 不 同 的 网 
络 ， 其 故障 现象 也 会 多 种 多 样 ， 总 的 来 说 不 外 乎 硬件 故障 和 软件 故障 两 大 类 。 遇 到 问题 时 
要 冷静 观察 、 具 体 问题 具体 分 析 ， 相 信和 最 终 能 够 克服 困难 ， 排 除 故障 ， 让 网 络 重新 运转 
起 来 。 


9.6.4 Windows 局 域 网 使 用 过 程 中 的 常见 故障 
1. 用 户 在 网 络 上 可 以 看 到 其 他 用 户 ， 却 无 法 访问 共享 资源 


故障 分 析 : 导致 这 种 故障 通常 有 以 下 几 方 面 原因 ， 用 户 的 计算 机 网 络 连 接 属 性 中 的 文 
件 和 打印 共享 服务 没有 安装 ; 用 户 的 资源 共享 设置 不 正确 ;网 络 连接 有 问题 。 

解决 方法 : 首先 检查 用 户 计算 机 中 的 网 络 连接 属性 中 的 文件 和 打印 共享 服务 是 否 安装 ， 
方法 如 下 。 

(1) 双击 【控制 面板 】| 【网络 连接 】 图 标 ， 在 打开 的 【网 络 连接 】 窗 口中 右 击 【 本 地 
连接 】 图 标 ， 在 弹出 的 快捷 菜单 中 选择 【属性 】 命 令 , 打开 【本 地 连接 属性 】 对 话 框 ， 如 


让 图 9.6 所 示 。 
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图 9.6 【本 地 连接 属性 】 对 话 框 


(2) 在 【本 地 连接 属性 】 对 话 框 中 查看 有 无 【Microsoft 网 络 的 文件 和 打印 机 共享 】 
选项 ， 如 果 没 有 ， 说 明 此 项 服务 没有 安装 ， 单 击 【 安 装 】 按 钮 ， 在 弹出 的 【选择 网 络 组 件 
类 型 】 对 话 框 中 选择 【服务 】 选 项 ， 如 图 9.7 所 示 。 


选择 网 络 组 件 类 型 ?|x| 


单 击 要 安装 的 网 络 组 件 类 型 上) 
客户 庙 
协议 


描述 s 
服务 提供 其 它 性 能 ,如 文件 和 打印 机 共享 。 | 


添加 避 ). 取消 


图 9.7 【选择 网 络 组 件 类 型 】 对 话 框 


(3) 单 击 【 添 加 】 按钮 ， 在 打开 的 【选择 网 络 服务 】 对 话 框 中 选择 【Microsoft 网 络 的 
文件 和 打印 机 共享 】 选 项 ， 然 后 单 击 【 确 定 】 按 钮 即 可 。 

(4) 如果 Microsoft 文件 和 打印 机 共享 服务 已 经 安装 好 , 接 下 来 查看 是 否 所 有 的 协议 都 
绑 定 了 Microsoft 文件 和 打印 机 共享 服务 ， 方 法 是 : 双击 【控制 面板 】 代 网 络 连接 】 图 标 ， 
在 打开 的 【网 络 连 接 】 对 话 框 中 单 击 【高 级 】 选 项 卡 中 的 【高 级 设置 】 按 钮 。 

(5) 在 打开 的 【高 级 设置 】 对 话 框 中 查看 网 络 连接 ， 如 【本 地 连接 】， 如 图 9.8 所 示 ， 
在 【高 级 设置 】 对 话 框 中 【本 地 连接 的 绑 定 】 列 表 框 中 ， 列 出 了 与 本 地 连接 绑 定 的 客户 端 
程序 、 服 务 以 及 与 客户 端 程序 和 服务 绑 定 的 各 种 通信 协议 ， 查 看 这 些 绑 定 项 目的 复 选 框 有 
没有 选中 ， 如 果 没 有 选中 ， 请 将 绑 定 项 目前 面 的 复 选 框 选中 。 
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高 级 设置 ?>x| 
适配器 和 绑 定 | 提供 程序 顺序 | 
连接 按 该 网 络 服务 访问 的 顺序 排列 。 
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图 9.8 【高 级 设置 】 对 话 框 
最 后 检查 网 络 连接 无 问题 ， 可 以 按照 上 一 小 节 讲解 的 方法 来 检查 。 
2. 不 能 共享 网 络 打印 机 


故障 分 析 : 不 能 共享 网 络 打印 机 大 致 有 以 下 几 方 面 原因 : 网 络 连接 有 问题 没有 正确 
安装 及 设置 文件 和 打印 机 共享 服务 ;没有 正确 安装 网 络 打印 机 驱动 程序 ， 网 络 管理 权限 的 
因素 。 

解决 方法 : 首先 检查 是 否 安装 了 网 络 打 印 机 的 驱动 程序 ， 方 法 是 双击 桌面 上 的 【网 上 
邻居 】 图 标 ， 在 打开 的 【网 上 邻居 】 窗 口中 ， 单 击 左 侧 的 【打印 机 和 传真 】 选 项 ， 然 后 在 
打开 的 【打印 机 和 传真 】 窗 口中 检查 有 没有 安装 好 的 网 络 打 印 机 。 如 果 没 有 请 安装 网 络 打 
印 机 ; 如 果 安 装 好 了 ， 还 要 激活 它 ， 将 它 设置 为 【默认 首选 打印 机 】， 方 法 是 右 击 网 络 打 
印 机 ， 在 弹出 的 快捷 菜单 中 选择 【 设 为 默认 打印 机 】 命 令 即 可 。 

如 果 打 印 机 驱动 程序 安装 及 设置 正常 ， 接 下 来 要 检查 有 没有 正确 安装 和 配置 文件 和 打 
印 机 共享 服务 。 检 查 和 安装 方法 参见 上 一 故障 的 排除 方法 。 

如 果 以 上 都 没有 查 出 问题 ， 还 要 检查 网 络 连接 状况 ， 查 看 网 络 打印 机 是 否 打开 ， 是 和 否 
连接 在 网 络 上 ， 打 印 服务 器 是 否 打 开 ， 工 作 是 否 正常 ， 网 络 连 线 是 否 正常 。 

这 些 情况 都 检查 后 ， 一 般 就 可 以 将 故障 排除 。 如 果 故 障 还 是 得 不 到 解决 ， 那 么 还 可 以 
检查 用 户 使 用 网 络 打 印 机 的 权限 ， 比 如 使 用 网 络 打 印 机 的 时 段 、 能 否 访问 及 使 用 打印 机 的 
用 户 等 情况 。 因 为 如 果 用 户 在 非 工作 时 间或 者 非 使 用 权限 时 间 使 用 网 络 打 印 机 也 会 造成 无 
法 共享 网 络 打 印 机 的 “ 假 故 障 ” 现 象 发 生 。 

3. 无 法 连接 到 Internet 


故障 分 析 : 导致 这 种 故障 的 原因 有 以 下 几 个 : 局 域 网 的 问题 ， 代 理 服务 器 的 问题 ; 
Internet 连接 的 问题 。 
解决 方法 : 首先 检查 局 域 网 是 否 连通 ， 如 果 局 域 网 没有 连通 ,就 根本 无 法 进行 Internet 


Q@_ 


连接 共享 。 局域网 是 否 连 通 ， 主 要 检查 网 线 、 网 卡 、 集 线 器 的 连接 状况 ， 用 户 的 TCP/IP 协 
议 配置 状况 ， 用 户 是 否 登 录 到 域 中 等 。 

如 果 局 域 网 工作 正常 ， 各 台 计 算 机 相互 连通 正常 ， 接 下 来 检查 局 域 网 中 的 代理 服务 器 
是 否 正确 配置 、 是 否 工作 正常 。 同 时 还 要 检查 局 域 网 中 的 用 户 身 份 是 否 已 经 被 代理 服务 器 
正确 识别 ， 如 果 用 户 身份 没有 被 正确 识别 ， 用 户 也 就 无 法 通过 代理 服务 器 来 共享 Internet。 
这 些 主要 是 通过 针对 Active Directory 和 DHCP 服务 器 的 设置 加 以 解决 。 

如 果 代 理 服 务 器 设置 无 误 ， 工 作 正 常 ， 接 下 来 要 检查 局 域 网 的 Intemet 连接 ， 诸 如 
Modem、ISDN ADS 等 设备 的 连接 状况 ， 如 果 这 些 连接 出 现 问题 ， 整 个 局 域 网 的 用 户 都 无 
法 连接 到 Intemet, 一 般 只 需 检查 是 否 连 接 设 置 方 面 出 了 问题 。 如 果 是 连接 设置 方面 出 了 问 
题 ， 请 将 Internet 连接 进行 正确 设置 。 一 般 经 过 以 上 几 步 检查 就 可 以 将 故障 排除 。 


4. 在 使 用 过 程 中 网 络 速度 突然 变 慢 


故障 分 析 : 以 下 几 个 原因 可 以 导致 网 络 速度 突然 变 慢 : 网 络 中 的 设备 出 现 故 障 ， 网络 
通信 量 突然 加 大 ， 网 络 中 存在 病毒 。 

解决 方法 : 首先 检查 是 否 是 因为 网 络 通信 量 的 激增 导致 了 网 络 阻塞 ， 是 否 同时 有 很 多 
用 户 在 传输 大 量 的 数据 ， 或 者 是 网 络 中 用 户 的 某 些 程序 在 用 户 发 送 了 大 量 的 广播 数据 到 网 
络 上 。 对 于 这 种 现象 ， 只 能 尽量 避免 局 域 网 中 的 用 户 同时 或 长 时 间 地 发 送 和 接收 大 批量 的 
数据 ， 否 则 就 会 导致 局 域 网 出 现 阻 塞 。 

如 果 上 述 现象 没有 发 生 ， 就 要 检查 网 络 中 是 否 存 在 设备 故障 。 设 备 故障 造成 局 域 网 速 
度 变 慢 主要 有 两 种 情况 : 一 种 是 设备 不 能 正常 工作 ， 导 致 访问 中 断 ， 另 一 种 是 设备 出 现 故 
障 后 由 于 得 不 到 响应 而 不 断 向 网 络 中 发 送 大 量 请 求 数据 ， 从 而 造成 网 络 阻塞 。 遇 到 这 种 情 
况 ， 只 有 及 时 对 故障 设备 进行 维修 或 者 更 换 ， 才 能 彻底 解决 故障 根源 。 

一 般 来 说 ， 广 播 风 暴 通常 是 由 有 故障 的 网 卡 和 集线器 造成 的 ， 也 可 能 是 整个 NetBEUI 
网 络 上 过 多 的 广播 信息 引起 的 。 为 了 诊断 造成 广播 风暴 的 故障 所 在 ， 需 要 利用 协议 分 析 仪 
来 隔离 检查 这 些 设 备 ， 以 便 确 定 故障 设备 并 且 更 换 ， 如 果 采 用 内 部 路 由 器 和 可 选 路 由 协议 ， 
也 可 以 减弱 广播 风暴 带 来 的 影响 ， 因 为 路 由 器 并 不 为 广播 信息 选择 路 由 。 

如 果 网 络 设备 工作 正常 ， 那 么 有 可 能 是 病毒 造成 的 网 络 速度 下 降 。 例 如 ， 计 算 机 中 的 
蠕虫 病毒 ， 受 感染 的 计算 机 会 通过 网 络 发 送 大 量 数 据 ， 从 而 导致 网 络 瘫痪 。 如 果 网 络 中 存 
在 病毒 ， 请 用 专门 的 杀毒 软件 对 网 络 中 的 计算 机 进行 彻底 杀毒 。 


9.6.5 故障 实例 及 排除 方法 

前 面 介绍 了 网 络 故 障 的 种 类 和 原因 以 及 排除 网 络 故障 的 一 般 思 路 和 常用 工具 。 本 节 有 
针对 性 地 介绍 一 些 网 络 故障 现象 的 分 析 和 解决 方法 。 

1. 组 网 过 程 中 的 常见 故障 

在 组 建 局 域 网 过 程 中 ， 常 常会 遇 到 网 卡 安装 不 上 、 网 络 连接 不 通 等 ， 此 时 就 需要 按照 


前 面 讲解 的 排除 故障 的 思路 来 对 故障 进行 排除 。 下 面 简单 介绍 几 种 在 组 网 过 程 中 常会 遇 到 
的 故障 现象 。 
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1) ”网 卡 和 其 他 设备 冲突 ， 导 致 不 能 正常 工作 

故障 分 析 : 在 组 网 过 程 中 经 常会 遇 到 安装 到 系统 中 的 网 卡 不 能 正常 工作 ， 有 时 甚至 不 
能 启动 计算 机 。 这 种 现象 最 容易 发 生 在 一 台 安 装 了 两 块 以 上 网 卡 的 计算 机 上 ， 而 网 卡 又 最 
容易 和 显卡 、 声 卡 、 内 置式 调制 解 调 器 甚至 是 和 另 一 块 网 卡 发 生 资源 冲突 。 当 然 这 种 现象 
也 很 有 可 能 是 由 于 网 卡 和 主板 的 插 槽 没有 插 牢 , 导致 接触 不 良 从 而 使 得 网 卡 无 法 正常 工作 。 
还 有 一 种 可 能 就 是 网 卡 的 驱动 程序 或 者 网 卡 坏 了 。 

解决 方法 : 首先 将 计算 机 中 的 其 他 板 卡 ， 如 声卡 、 内 置 调 制 解 调 器 等 设备 拔 掉 ， 只 保 
留 显 卡 和 网 卡 ， 然 后 重新 启动 计算 机 。 进 入 操作 系统 后 ， 首 先 安装 网 卡 的 驱动 程序 ， 然 后 
再 安装 显卡 的 驱动 程序 ， 如 果 一 切 正常 则 说 明 网 卡 和 显卡 之 间 的 冲突 已 经 解决 。 一 般 情况 
下 ， 先 安装 网 卡 驱动 后 安装 其 他 板 卡 的 驱动 就 能 解决 网 卡 和 其 他 板 卡 的 冲突 问题 。 

如 果 解 决 不 了 ,还 有 一 个 办 法 是 在 CMOS 中 的 PnP/PCI CoMigrations 页 面 中 将 Resources 
Controlled By 选项 的 值 由 Manual 改 为 Auto， 同 时 将 系统 中 不 存在 设备 的 设置 值 改 为 
Disabled( 禁 用 )， 此 后 重新 安装 网 卡 驱动 程序 ， 一 般 都 能 解决 设备 冲突 问题 。 

如 果 以 上 办 法 都 不 行 ， 最 后 只 剩 下 一 种 可 能 情况 ， 那 就 是 网 卡 的 驱动 程序 不 良 或 者 网 
卡 本 身 有 问题 ， 此 时 建议 更 换 网 卡 。 验 证 办 法 就 是 将 此 网 卡 安装 到 局 域 网 中 另 一 台 计 算 机 
中 查看 能 否 正常 工作 ， 如 果 不 能 则 证 明 网 卡 确 实 有 问题 ， 应 将 其 换 掉 。 

2) ”网 络 不 通 ， 看 不 到 网 上 邻居 ， 或 者 查看 网 络 邻居 时 提示 “无 法 访问 网 络 ” 

故障 分 析 : 一 般 出 现 这 种 故障 现象 的 原因 有 以 下 几 种 情况 ， 网 线 不 良 或 者 没有 插 好 ; 
网 卡 安装 不 正确 ;网 络 属性 没有 设置 好 。 

操作 步骤 如 下 。 

(1) 首先 检查 网 线 是 否 良好 ,接头 是 否 安插 到 位 。 先 检查 网 线 的 接触 状况 。 网 线 的 接触 状 
况 主要 指 网 线 和 计算 机 网 卡 的 接触 情况 ， 以 及 网 线 和 集线器 接口 的 接触 状况 。 

Q@ 先 检 查 网 线 和 计算 机 网 卡 的 接触 情况 ， 然 后 检查 网 线 和 集线器 接口 的 接触 状况 。 

@ ”如 果 接 插 部 位 接触 良好 ， 将 网 线 拆 下 来 检查 网 线 的 类 型 对 不 对 ， 如 果 是 双 机 跳 接 
线 ， 请 将 其 更 换 为 直 连 线 。 

(2) 接 下 来 具体 检查 网 线 的 物理 状况 。 网 线 是 由 一 根 线 和 两 个 水 晶 头 组 成 的 ， 网 线 的 
问题 主要 集中 在 水 晶 头 上 ， 可 按 以 下 顺序 进行 检查 。 首 先 ， 检 查 水 晶 头 的 弹性 。 好 的 水 晶 
头 的 防 松 卡 (Loosepreventer) 弹性 非常 好 ， 插 入 网 卡 插座 时 ， 能 听 到 清脆 的 “ 味 哄 ” 声 。 质 
量 差 的 水 晶 头 ， 其 防 松 卡 播 进 插座 时 声音 很 小 或 没有 声音 ， 插 拔 几 次 就 失去 弹性 ， 插 头 与 
插座 的 间隙 越 来 越 大 ， 接 触 性 能 变 差 ， 稍 一 受 力 就 会 出 现 网 络 时 通 时 断 的 现象 。 其 次 ， 检 
查 水 品 头 的 压 线 片 。 网 线 是 靠 压 线 片 与 插座 内 的 弹性 金属 丝 的 接触 连通 网 卡 的 。 使 用 时 间 
较 长 或 质量 较 差 的 水 晶 头 压 线 片 会 松弛 ， 从 水 晶 头 上 脱落 ， 从 而 造成 网 络 不 通 。 另 外 ， 制 
作 网 线 时 ， 由 于 制作 粗心 或 水 晶 头 质量 太 差 ， 有 时 网 线 绝缘 皮 未 能 压 在 水 晶 头 内 。 这 种 网 
线 开始 使 用 时 一 般 不 会 出 现 问 题 ， 但 时 间 长 了 ， 网 线 受 力 后 可 能 会 从 水 晶 头 内 脱落 造成 网 
络 不 通 。 最 后 ， 检 查 网 线 通路 ， 可 以 用 电缆 测试 仪 测试 其 连通 状况 ， 如 果 网 线 不 良将 其 换 
掉 ， 如 果 网 线 正 常 ， 就 排除 了 网 线 方面 的 因素 。 

(3) 随后 ， 进 入 操作 系统 检查 网 卡 的 安装 状况 。 在 此 以 Windows XP 为 例 加 以 介绍 ( 风 
格 为 经 典 设置 )。 在 桌面 上 右 击 【我 的 电脑 】 图 标 ， 在 弹出 的 快捷 菜单 中 选择 【属性 】 命 令 ， 
打开 【系统 属性 】 对 话 框 ， 在 【硬件 】 选 项 卡 中 单 击 【设备 管理 器 】 按 钮 ， 打 开 【 设 备 管 


得 | 理 器 】 窗 口 ， 如 图 9.9 所 示 。 在 其 中 检查 【网 络 适 配器 】 选 项 前 面 是 否 有 黄色 的 惊叹 号 ， 
机 | 如 果 有 叹 号 ， 则 说 明 该 设备 没有 安装 好 ， 如 果 没 有 叹 号 则 说 明 该 设备 安装 正确 。 


络 
信 Er 
Fi 


DB D-Link HFE-S30T FCI Fest Ethernet aspter Ger 0) 


引 素 


9.9 检查 【网 络 适 配器 】 选 项 前 面 是 否 有 黄色 的 惊叹 号 


如 果 网 卡 安装 正确 ， 接 下 来 检查 网 络 属性 的 设置 情况 ， 一 般 在 局 域 网 中 需要 给 每 台 计 
算 机 一 个 确定 的 且 各 不 相同 的 网 络 人 P 地 址 和 网 络 标识 ， 和 否则 会 导致 看 不 到 网 上 邻居 。 具 
体检 查 步骤 如 下 。 
@ 先 检 查 网 络 标识 。 在 桌面 上 右 击 【 我 的 电脑 】 图 标 , 在 弹出 的 快捷 菜单 中 选择 【 属 
性 】 命 令 ， 打开 【系统 属性 】 对 话 框 ， 切 换 到 【计算 机 名 】 选 项 卡 ， 如 图 9.10 所 示 。 
系统 属性 ?jx] 


常规 。 计算 机 名 | 硬件 | 高 级 | 系统 还 原 | 自动 更 新 | 远程 | 
yy Windows 使 用 以 下 什 息 在 网 络 中 标识 这 台 计算 机 
计算 机 撕 述 四 ) [hod 
举例 “Kitehen Computer” 或 “Wary = 
Computer 
完整 的 计算 机 名 称 ; 。 bighero- 


工作 姐 ， PORKGROUP 
Ps | 
要 重新 人 各 此 计算 机 职 加 入 域 ， 单 而 “更” 。 Wag CC) 


图 9.10 【计算 机 名 】 选 项 卡 


@ 在 【计算 机 名 】 选 项 卡 中 单 击 【 更 改 】 按 钮 , 打开 【计算 机 名 称 更 改 】 对 话 框 ， 
如 图 9.11 所 示 。 在 该 对 话 框 中 查看 计算 机 的 网 络 标 识 ， 如 果 指 定 的 【 域 】 或 者 【工作 组 】 
名 称 正确 ， 则 完成 确认 工作 。 

@” 接 下 来 检查 网 络 人 P 地 址 的 设置 状况 ， 在 桌面 上 右 击 【网 上 邻居 】 图 标 ， 在 弹出 的 
快捷 菜单 中 选择 【属性 】 命 令 ， 打 开 【 网 络 连接 】 窗 口 ， 右 击 【 本 地 连接 】 选 项 ， 在 弹出 
的 快捷 菜单 上 选择 【 属性】 命令， 打开 【本 地 连接 属性 】 对 话 框 ， 如 图 9.12 所 示 。 
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计算 机 名 称 更 改 | ?|x 上 本 地 连接 2 属性 ?jx 
可 以 全 计算机 的 名 称 和 成 员 身 份 。 会 第 坑 | 1 | 
Bl bd 这 扩 时 代用; 
到 DLink DFE-S30TX PCI Fast Ethe [配置 ©).. | 
计算 机 名 CC): C5] 
Ew 接合 用 下 列 项目) 
in eho FP 
完整 的 计算 机 名 称 ; MLink IPX/SPX/NetBI0S Conpatible Transpor. | 
Ve © 一 
ey Ll a 
| 5 | 。 7 | RE | 
隶属 于 = 
广 域 四 ): TCPIE 是 默认 的 广域网 协议 。 它 提供 跨越 多 种 互联 网 络 
fe 王子 的 通讯 。 
人 工作 组 他 ) 厅 连接 后 在 通知 区 域 显示 图 标 YY) 
WORKGROUP 证 此 这 接 被 限制 或 无 连接 时 通知 我 中) 
Cae ] we | 确定 取消 
图 9.11 【计算 机 名 称 更 改 】 对 话 框 图 9.12 【本 地 连接 属性 】 对 话 框 


@ 在 该 对 话 框 中 选择 【Intemet 协议 (TCP/IP)】 选 项 ， 然 后 单 击 【 属 性 】 按 钮 ， 打 开 
【Intemet 协议 (TCP/IP) 属 性 】 对 话 框 ， 如 图 9.13 所 示 。 在 其 中 确认 网 络 人 P 地 址 是 否 被 正 
确 设置 ， 如 果 没有 请 将 其 正确 设置 。 经 过 以 上 检查 步骤 ， 故 障 一 般 都 能 排除 。 
Internet 协议 (TCP/IP) 属性 
人 | 
站 呈 请 向 汪 交 村 作 本 “于 


个 自动 获得 IP 地 址 四 ) 
aa EA 


TP 地 址 CD); 210 .44 .71 .119 
子 网 掩 码 WD; 255 .255 .255 . 0 
默认 网 关 四 ); 0 0 


天 目 动 政 拼 mis 上 
一 使 用 下 面 的 DNS 服务 器 地 址 到 ) 
首选 DNS 服务 器 中); 210 .44 .64 .66 
备用 DNS 服务 器 (A); 


图 9.13 【Internet 协议 (TCP/IP) 属 性 】 对 话 框 


3) “用户 无 法 登录 到 Windows 域 中 

故障 分 析 : 这 种 现象 一 般 在 新 手 组 建 局 域 网 时 经 常 出 现 ， 造 成 这 种 故障 现象 的 原因 有 
多 种 。 例 如 ， 用 户 在 服务 器 中 没有 创建 相应 客户 机 的 登录 账户 和 密码 ; 客户 机 没有 加 入 到 
域 环 境 中 来 ; 网络 连 接 不 正常 ， 服 务 器 工作 状况 不 良 等 。 

解决 方法 : 一 般 情 况 下 ， 在 局 域 网 中 创建 了 域 服 务 器 后 一 般 都 会 给 客户 机 创建 相应 的 
登录 账户 ， 也 会 将 客户 机 一 端 加 入 到 域 环 境 中 ， 所 以 出 现 此 类 故障 时 ， 前 两 种 原因 的 可 能 
性 比较 小 ， 除 非 有 人 将 客户 机 一 端 从 【 域 】 改 动 到 【工作 组 】， 或 者 将 客户 机 的 登录 账号 
删除 了 ， 和 否则 不 会 由 于 前 两 种 原因 导致 此 故障 的 发 生 。 但 是 为 了 保险 起 见 ， 最 好 检查 一 番 
服务 器 和 客户 机 的 设置 情况 。 


首先 ， 检 查 网 络 的 连接 状况 ， 查 看 网 络 连接 是 否 正常 。 网 络 连 接 中 最 常见 的 问题 是 网 
线 和 集线器 的 连接 状况 ， 重 点 检查 域 控制 器 的 网 线 和 客户 机 的 网 线 是 否 松动 。 

接 下 来 检查 服务 器 的 工作 状况 。 一 般 情况 下 ， 服 务 器 出 问题 的 概率 不 大 ， 但 是 如 果 服 
务 器 出 现 故障 ， 用 户 将 无 法 登录 到 Windows 域 中 ， 所 以 要 检查 服务 器 是 否 关 机 、 死 机 ， 是 
否 有 重要 服务 项 目 出 错 。 可 以 使 用 【事件 查看 器 】 来 检查 服务 器 工作 状态 。 通 过 查看 事件 
日 志 ， 系 统管 理 员 可 以 很 方便 地 得 知 系统 出 现 的 问题 及 可 能 的 原因 。 要 查看 事件 日 志 需 要 
先 打开 【事件 查看 器 】 窗 口 。 首 先 在 【控制 面板 】 窗 口中 双击 【管理 工具 】 图 标 , 打开 【 管 
理工 具 】 窗 口 ， 然 后 在 打开 的 【管理 工具 】 窗 口中 双击 【事件 查看 器 】 图 标 ， 即 可 打开 【 事 
件 查看 器 】 窗 口 ， 如 图 9.14 所 示 。 有 关 事 件 查 看 器 的 具体 使 用 请 参阅 【帮助 】 菜 单 。 
事件 查看 器 - 口 jx| 
| 文件 四 操作 内 可 和 lm 
i 2 | 白 | 男 | 从 因 加 | 久 


事件 查看 器 (本 地 ) | 应 用 程序 。 452 个 事件 
加 EI 更 
国 安全 性 人 0 诸 误 2005-12-27 8:44:36 Yss 无 司 
图 系统 因 诸 品 2005-12-27 。 8:44:36 EventSysten 名 
国信 息 2005-12-27 ”8:44:35 Viware HAT Service 无 
图 信息 2005-12-27 8:44:35 Vlware NAT Service 无 
错误 2005-12-27 8:44:16 EventSysten a 
警 肖 2005-12-26 20:46:40 VUserenv 无 
国信 息 2005-12-26 20:12:21 Vware NAT Service 无 
轩 0 诗 误 2005-12-26 20:12:21 Yss 无 
人 0 诸 误 2005-12-26 20:12:21 EventSysten 名 
名 信息 2005-12-26 20:12:21 Vlware NAT Service 无 
8 诸 误 2005-12-26 20:12:17 EventSysten [a 
从 要 上告 2005-12-26 18:14:17 。 Userenv 无 
因 0 庄 误 2005-12-26 16:00:51 EventSysten [a 
轩 庄 误 2005-12-26 15:11:40 yss 无 
网 诸 误 2005-12-26 15:11:40 EventSysten [3 
名 信息 2005-12-26 15:11:38 。 Wiware NAT Service 无 
15:11:38 Vware NAT Service 于 
» 


图 9.14 【事件 查看 器 】 窗 口 


如 果 发 现 服务 器 端 工作 良好 ， 接 下 来 检查 服务 器 上 用 户 账号 、 密 码 是 否 正常 ， 客 户 机 
的 账号 是 否 被 锁定 。 如 果 都 正常 ， 接 下 来 检查 客户 机 的 TCP/IP 设置 状况 ， 有 具体 方法 是 使 用 
Ipconfig 命令 检查 客户 机 端 是 否 正确 设置 了 要 登录 的 域 ， 是 否 安装 了 需要 的 网 络 组 件 等 。 
一 般 经 过 这 番 检 查 都 能 将 故障 排除 。 

4) ”登录 时 人 P 地 址 冲突 现象 

故障 分 析 : 此 类 故障 大 都 是 由 于 手动 为 局 域 网 中 的 用 户 分 配 人 P 地 址 资源 时 发 生 重复 而 
导致 。 

解决 方法 : 有 两 种 方法 可 以 解决 这 个 问题 ,一 种 是 将 局 域 网 中 的 人 P 地 址 重新 进行 规划 ， 
为 所 有 的 资源 分 配 P 地 址 。 但 是 这 种 方法 的 缺点 是 静态 划分 卫 地 址 ， 不 能 适应 局 域 网 中 
资源 的 动态 变化 ， 如 果 局 域 网 中 增加 设备 时 还 会 引发 冲突 。 另 一 种 解决 方法 是 动态 划分 下 
地 址 。 在 域 控制 器 上 架设 DHCP( 动 态 主机 配置 协议 )。DHCP 服务 器 为 局 域 网 中 的 各 种 设 
备 动态 地 分 配 卫 地 址 ， 并 对 已 经 分 配 的 地 址 进行 保留 ， 有 效 地 避免 了 资源 冲突 。 
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复习 思考 题 九 


一 、 填 空 题 
1. 网 络 管理 结构 中 的 被 管 设备 又 被 称 为 网 络 元 素 ， 是 指 
2. SNMP 标准 主要 由 3 部 分 组 成 : 


3. SNMP v3 主要 定义 了 SNMPYv2 里 缺少 的 网 络 安全 方面 的 
。 以 上 3 种 功能 所 需 的 远程 配置 和 管理 能 力 4 不 关 


键 域 。 

4. 紧急 响应 的 主要 阶段 包括 和 、 根 除 阶段 、 
恢复 阶段 、 报 告 和 总 结 阶段 等 。 

5. 防范 网 络 监 听 可 以 采取 的 措施 有 从 逻辑 或 物理 上 对 网 络 分 段 、 以 交换 式 集线器 代替 


共享 式 集线器 、 、_  ， 
6. 按 数据 备份 时 备 份 的 数据 不 同 ， 可 有 .和 
按 需 备份 等 备份 方式 。 
7. 是 指 在 多 用 户 的 环境 下 ， 对 数据 库 的 并 行 操作 进行 规范 的 机 制 ， 从 而 
保证 数据 的 正确 性 与 一 致 性 。 
二 、 选 择 题 
1. 按 数 据 备 份 时 数据 库 状 态 的 不 同 有 ( 。”)。 
A. 热 备份 B. 冷 备份 C. 逻辑 备份 D. A、B、C 都 对 
2. 端口 扫描 是 一 种 ( ”) 型 网 络 攻击 。 
A. DoS B. 利用 C. 信息 收集 D. 虚假 信息 
3. ( ”) 不 是 Intemet 服务 的 安全 隐患 。 
A. E-mail 缺陷 B.FTP 缺陷 C.USENET 缺陷 D. 操作 系统 缺陷 


4. ( ”) 攻 击 是 一 种 特殊 形式 的 拒绝 服务 攻击 ， 它 采用 一 种 分 布 、 协 作 的 大 规模 攻 
A. DDoS B. DoS C. 缓冲 区 溢出 D.IP 电子 欺骗 

三 、 判 断 题 

1. 网 络 管理 就 是 为 保证 网 络 系统 能 够 持续 、 稳 定 、 安 全 、 可 靠 和 高 效 地 运行 、 不 受 外 


界 干扰 ， 对 网 络 系统 设施 采取 的 一 系列 方法 和 措施 。 C3 
2. 网 络 计 费 管理 从 网 上 收取 费用 。 (os 
3. 网 络 资源 管理 指 的 是 与 网 络 有 关 的 设备 。 ( ) 
4. 网 关 是 连接 两 个 不 同类 型 的 局 域 网 络 的 网 络 连接 设备 。 i 
5. 封装 性 是 将 对 象 包含 的 特殊 化 信息 和 操作 隐藏 在 对 象 和 内部， 对 外 提供 标准 属性 和 
操作 。 ( 


6. ODBC 为 用 户 提供 了 一 个 简单 、 标 准 和 透明 的 数据 库 连 接 的 公共 编程 接口 ， 各 开发 


Q@_ 


厂商 根据 ODBC 的 标准 来 实现 其 底层 的 驱动 程序 。 人 
7. 增 量 备份 指 每 次 备份 的 数据 是 相对 于 上 一 次 备份 后 增加 的 数据 。 (全 
8. 容错 是 为 了 防止 网 络 系统 内 部 的 某 些 子 系统 出 现 故障 ， 而 容 灾 是 为 了 防止 由 于 自然 

灾害 等 导致 的 整个 系统 全 部 或 大 部 分 受到 损坏 。 i 
四 、 简 答题 

. 什么 是 路 由 器 ? 它 有 哪些 功能 ? 

. 请 说 明 MAC 地 址 查找 方式 中 动态 主机 配置 协议 (DHCP) 的 基本 步骤 。 

. 什么 是 网 络 通信 协议 ? 它 有 哪些 特点 ? 

. 要 查找 wx.abc.com 的 卫 地 址 ， 请 写 域名 解析 的 具体 步骤 。 

. Windows 自 带 网 络 工具 箱 常用 命令 的 功能 是 什么 ? 

. 局 域 网 常见 故障 排除 思路 是 什么 ? 

. 上 网 常见 故障 的 排除 方法 有 哪些 ? 

. 交换 机 的 MAC 地 址 列表 有 问题 用 什么 方法 解决 ? 

. 网 线 的 种 类 及 连接 方法 。 

10. JP 地 址 配置 有 问题 用 什么 方法 解决 ? 

11. DHCP 有 故障 用 什么 方法 解决 ? 

12. DNS 有 故障 用 什么 方法 解决 ? 


Doo ~ 上 wmwNDD 一 
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学 习 目 标 
学 习 网 络 信息 安全 系统 设计 的 总 体 目标 方 案 需求 ， 涉 及 需求 分 析 、 工 程 论 证 、 网 络 安 
全 总 体 目标 、 设 计 原 则 以 及 具体 的 网 络 安全 方案 等 几 个 方面 。 通 过 本 章 的 学 习 ， 读 者 应 掌 
握 及 了 解 以 下 内 容 。 
@ 掌握 网 络 信息 安全 系统 设计 的 需求 分 析 、 工 程 论证 、 总 体 目标 、 设 计 原则 以 及 有 具 
体 设计 等 问题 。 
@ ”了解 现代 企业 的 网 络 安全 实体 设计 问题 。 


10.1 确定 企业 网 络 设计 目标 


网 络 安全 是 所 有 网 络 用 户 都 普遍 关心 的 问题 ， 一 旦 PC 与 网 络 连接 ， 就 面临 着 网 络 安 
全 问题 。 引 起 网 络 安全 的 直接 原因 ， 就 是 网 络 系统 的 安全 漏洞 。 现 在 的 网 络 安全 的 开发 ， 
大 部 分 都 是 走 补 堵 安全 漏洞 的 道路 。 随 着 网 络 系统 的 日 益 复杂 ， 网 络 的 安全 漏洞 会 层 出 不 
穷 ， 这 种 思路 下 的 安全 防护 ， 将 永远 跟着 “黑客 ” 走 。 所 以 ， 随 着 网 络 安全 技术 的 发 展 ， 
应 该 走 系统 集成 的 道路 ， 也 就 是 多 重 安全 措施 并 存 ， 这 实际 上 就 是 网 络 信息 安全 系统 。 


10.1.1 需求 分 析 


网 络 的 需求 分 析 是 关系 到 一 个 网 络 系 统 成 败 的 关键 ， 是 网 络 设 计 的 基础 ， 必 须 把 网 络 
应 用 的 需求 分 析 作 为 网 络 系统 规划 与 设计 中 至 关 重 要 的 步骤 来 认真 完成 ， 了 解 用 户 建 网 的 
目的 、 用 户 已 有 的 网 络 基 础 和 应 用 现状 (包括 综合 布线 、 网 络 平台 、 已 开展 的 网 络 应 用 等 )。 

需求 分 析 最 终 应 得 出 对 网 络 系统 的 以 下 几 个 方面 的 明确 定义 : 网络 的 地 理 分 布 ， 确 定 
网 络 覆 盖 的 地 理 范 围 ， 以 及 网 络 节点 的 数量 和 位 置 、 站 点 间 最 大 的 距离 、 用 户 群 组 织 、 特 
殊 要 求 和 限制 ， 用户 设备 类 型 ， 网 络 带宽 和 网 络 服务 质量 ， 网 络 安全 和 网 络 管理 系统 的 
需求 。 

明确 网 络 安 全 的 系统 需求 ， 明 确 网 络 管理 范围 、 网 络 管理 对 象 和 用 户 对 网 络 管理 功能 
的 需求 。 网 络 管理 功能 涉及 网 络 配置 管理 、 性 能 管理 、 故 障 管理 、 安 全 管理 和 计 费 管理 等 
5 个 方面 。 

需求 分 析 是 组 建 网 络 的 基础 ， 除 了 应 明确 上 述 几 个 方面 的 定义 外 ， 还 要 考虑 机 房 的 环 
境 (温度 、 湿 度 及 抗 干扰 性 等 ) 和 位 置 需 求 、 网 络 设备 的 电气 特性 (电源 、 接 地 、 防 雷击 等 )、 
网 络 管理 和 应 用 人 员 的 状况 、 用 户 未 来 发 展 的 需求 等 诸多 方面 。 


10.1.2 工程 论证 
工程 论证 是 为 了 乔 清 所 定义 的 项 目 是 否 可 能 实现 和 是 否 值得 进行 研究 ， 论 证 的 过 程 实 


际 是 一 次 大 大 简化 了 的 系统 分 析 和 系统 设计 的 过 程 。 在 投入 大 量 资金 前 研究 工程 的 可 能 性 ， 
减少 所 冒 的 风险 ， 即 使 研究 结论 不 值得 进行 ， 花 在 可 行 性 研究 上 的 精力 也 不 算 白 费 ， 因 为 
它 避 免 了 一 次 更 大 的 浪费 。 

在 论证 过 程 中 需要 从 经 济 、 技 术 、 运 行 和 法 律 等 诸多 方面 进行 论证 ， 得 出 明确 的 结论 
供用 户 参考 。 在 经 济 方面 ， 需 要 论证 局 域 网 的 设计 有 没有 经 济 效益 、 花 费 如 何 、 多 长 时 间 
可 以 收回 成 本 。 在 技术 方面 ， 包 括 现 有 技术 如 何 实现 这 一 方案 、 有 没有 技术 难点 、 建 议 采 
用 的 技术 先进 程度 怎样 、 系 统 有 无 可 扩展 性 、 可 满足 未 来 多 少年 内 的 增长 需求 、 系 统 是 否 
有 宛 余 、 所 提供 的 稳定 性 能 和 否 满足 用 户 要 求 。 运 行 可 行 性 指 工程 的 运行 方式 是 否 可 行 ， 工 


| 程 中 有 无 一 定 的 安全 措施 可 以 保证 网 络 的 正常 运行 ， 系 统 中 有 无 安全 漏洞 。 法 律 可 行 性 指 


工程 的 实施 会 不 会 在 社会 上 或 政治 上 引起 侵权 、 破 坏 或 其 他 责任 问题 等 
10.2 ”现代 企业 网 络 安全 总 体 设计 思想 


10.2.1 现代 企业 网 络 安全 方案 的 总 体 目标 


(1) 建设 开放 复杂 系统 所 需 的 相对 完整 、 实 用 的 安全 技术 体系 。 

(2) 结合 当前 最 新 技术 和 产品 ， 定 义 安全 防御 体系 实现 框架 。 

(3) 以 信息 安全 工程 建设 和 信息 安全 服务 的 规范 为 指导 ， 提 供 完 备 的 安全 工程 实施 和 
解决 方案 。 

(4) 建设 与 系统 规模 和 性 质 相 适应 的 24h 紧急 事件 响应 和 维修 体系 。 

(5) 企业 各 部 门 信息 能 够 及 时 、 准 确 地 传输 到 集团 公司 决策 部 门 和 管理 部 门 。 

(6) 异地 分 支 机 构 能 够 与 企业 总 部 中 心 网 络 互联 起 来 ， 以 便 下 载 、 上 传 业 务 数据 ， 以 
及 使 用 电子 邮件 。 各 部 门 、 分 支 机 构 可 以 相互 独立 ， 互 不 干扰 。 

(7) 网 管 中 心 提供 统一 的 外 部 互联 接口 ， 能 够 保证 集团 公司 企业 内 部 网 的 信息 安全 ， 
提供 集团 公司 内 部 的 信息 服务 。 

(8) 企业 有 扩展 的 需要 ， 要 预 留 接口 。 


10.2.2 ”现代 企业 网 络 安全 设计 原则 
在 对 这 个 企业 局 域 网 网 络 系统 安全 方案 设计 、 规 划 时 ， 应 遵循 以 下 原则 。 
1. 综合 性 、 整 体 性 原则 


应 用 系统 工程 的 观点 、 方 法 ， 分 析 网 络 的 安全 及 具体 措施 。 安 全 措施 主要 包括 行政 法 
律 手段 、 各 种 管理 制度 (人 员 审 查 、 工 作 流程 、 维 护 保障 制度 等 ) 及 专业 措施 (识别 技术 、 存 
取 控 制 、 密 码 、 低 辐射 、 容 错 、 防 病毒 、 采 用 高 安全 产品 等 )。 一 个 较 好 的 安全 措施 往往 是 
多 种 方法 适当 综合 的 应 用 结果 。 一 个 计算 机 网 络 ， 包 括 个 人 人、 设备、 软件 、 数 据 等 。 这 些 
环节 在 网 络 中 的 地 位 和 影响 作用 ， 也 只 有 从 系统 综合 整体 的 角度 去 看 待 、 分 析 才 能 取得 有 
效 、 可 行 的 措施 。 即 计算 机 网 络 安全 应 遵循 整体 安全 性 原则 ， 根 据 规定 的 安全 策略 制定 出 
合理 的 网 络 安全 体系 结构 。 
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2. 需求 、 风 险 、 代 价 平衡 的 原则 


对 任 一 网 络 ， 绝 对 安全 难以 实现 ， 也 不 一 定 是 必要 的 。 对 一 个 网 络 进行 实际 研究 (包括 
任务 、 性 能 、 结 构 、 可 靠 性 、 可 维护 性 等 )， 并 对 网 络 面临 的 威胁 及 可 能 承担 的 风险 进行 定 
性 与 定量 相 结合 的 分 析 ， 然 后 制定 规范 和 措施 ， 确 定 本 系统 的 安全 策略 。 


3. 一 致 性 原则 


一 致 性 原则 主要 是 指 网 络 安全 问题 应 与 整个 网 络 的 工作 周期 (或 生命 周期 ) 同 时 存在 
制定 的 安全 体系 结构 必须 与 网 络 的 安全 需求 相 一 致 。 安 全 的 网 络 系统 设计 (包括 初步 或 详细 
设计 ) 及 实施 计划 、 网 络 验证 、 验 收 、 运 行 等 都 要 有 安全 的 内 容 及 措施 ， 实 际 上 在 网 络 建设 
的 开始 就 考虑 网 络 安全 对 策 ， 比 在 网 络 建设 好 后 再 考虑 安全 措施 不 仅 容 易 而 且 花 费 也 小 
得 多 。 

4. 易 操作 性 原则 


安全 措施 需要 人 为 去 完成 ， 如 果 措 施 过 于 复杂 ， 对 人 的 要 求 过 高 ， 其 本 身 就 降低 了 安 
全 性 。 其 次 ， 措 施 的 采用 不 能 影响 系统 的 正常 运行 。 


5. 分 步 实施 原则 


由 于 网 络 系统 及 其 应 用 扩展 范围 广阔 ， 随 着 网 络 规模 的 扩大 及 应 用 的 增加 ， 网 络 脆弱 
性 也 会 不 断 增加 ， 一 劳 永 逸 地 解决 网 络 安全 问题 是 不 现实 的 ， 同 时 由 于 实施 信息 安全 措施 
需 相 当 大 的 费用 支出 ， 因 此 分 步 实 施 ， 即 可 满足 网 络 系统 及 信息 安全 的 基本 需求 ， 亦 可 节 
省 费用 开支 。 


6. 多 重 保护 原则 

任何 安全 措施 都 不 是 绝对 安全 的 ， 都 可 能 被 攻破 。 但 是 建立 一 个 多 重 保护 系统 ， 各 层 
保护 相互 补充 ， 当 一 层 保护 被 攻破 时 ， 其 他 层 仍 可 保护 信息 的 安全 。 

7. 可 评价 性 原则 


如 何 预先 评价 一 个 安全 设计 并 验证 其 网 络 的 安全 性 ， 这 需要 通过 国家 有 关 网 络 信息 安 
全 测评 认证 机 构 的 评估 来 实现 。 


10.3 现代 企业 网 络 安全 的 整体 设计 需求 


10.3.1 物理 安全 设计 


保证 计算 机 信息 系统 各 种 设备 的 物理 安全 是 保障 整个 网 络 系统 安全 的 前 提 。 物 理 安全 
是 保护 计算 机 网 络 设备 、 设 施 以 及 其 他 媒体 免 遭 地 震 、 水 灾 、 火 灾 等 环境 事故 以 及 人 为 操 
作 失 误 或 错误 及 各 种 计算 机 犯罪 行为 导致 的 破坏 过 程 。 它 主要 包括 以 下 3 个 方面 。 

(1) 环境 安全 。 对 系统 所 在 环境 的 安全 保护 ， 如 区 域 保护 和 灾难 保护 等 。 

(2) 设备 安全 。 设 备 安全 主要 包括 : 设备 的 防盗 、 防 毁 、 防 电磁 信息 辐射 泄漏 、 防 止 
线路 截获 、 抗 电磁 干扰 及 电源 保护 等 ， 设 备 元 余 备 份 ; 严格 管理 及 提高 员工 的 整体 安全 意 
识 来 实现 。 


(3) 媒体 安全 。 其 包括 媒体 数据 的 安全 及 媒体 本 身 的 安全 。 显 然 ， 为 保证 信息 网 络 系 
统 的 物理 安全 ， 除 在 网 络 规划 、 场 地 、 环 境 等 要 求 外 ， 还 要 防止 系统 信息 在 空间 的 扩散 。 
计算 机 系统 通过 电磁 辐射 使 信息 被 截获 而 失 密 的 案例 已 经 很 多 ， 在 理论 和 技术 支持 下 的 验 
证 工作 也 证 实 这 种 截取 距离 在 几 百 甚至 可 达 千 米 的 复原 显示 技术 给 计算 机 系统 信息 的 保密 
工作 带 来 了 极 大 的 危害 。 为 了 防止 系统 中 的 信息 在 空间 的 扩散 ， 通 常 是 在 物理 上 采取 一 定 
的 防护 措施 ， 来 减少 或 干扰 扩散 出 去 的 空间 信号 。 


10.3.2 ”边界 保护 设计 
1. 物理 隔离 的 方案 


对 于 企业 外 网 和 科研 内 网 独立 布线 ， 物 理 线路 上 实现 隔离 。 对 上 外 网 的 计算 机 ， 采 用 
专机 和 物理 隔离 卡 相 结合 的 方式 ， 研 究 部 和 其 他 人 员 较 多 的 部 门 选用 专机 上 网 ， 领 导 和 人 
数 较 少 的 部 门 使 用 物理 隔离 卡 的 方式 上 外 网 。 实 现 物理 隔离 具有 以 下 优势 。 

(1) 内 外 网 绝对 隔离 。 将 单一 的 PC 从 物理 上 分 隔 成 两 个 虚拟 工作 站 ， 它 们 分 别 有 自 
己 独 立 的 硬盘 和 操作 系统 ， 并 能 通过 各 自 的 专用 接口 与 网 络 连接 ， 从 而 最 大 限度 地 保证 了 
安全 (内 网 ) 与 非 安全 (外 网 ) 环 境 的 物理 隔离 

(2) 完全 控制 。 安 全 策略 的 实施 安装 在 主板 和 两 块 硬盘 之 间 ， 完 全 控制 硬盘 通道 ， 并 
通过 继电器 来 控制 内 网 和 外 网 间 的 硬盘 转换 和 网 络 连接 ， 保 证 其 工作 状态 的 稳定 性 及 可 
靠 性 。 

(3) 转换 自如 。 用 户 可 根据 需要 在 任何 时 间 、 任 何 系统 中 方便 、 自 如 地 进行 内 部 网 和 
外 部 网 之 间 的 转换 。 

(4) 两 种 切换 方式 。 硬 切 (按钮 切换 ) 和 软 切 (软件 切换 ) 均 可 实施 。 

(5) 应 用 广泛 。 不 依赖 于 操作 系统 ， 可 以 应 用 于 所 有 使 用 IDE-ATA 硬盘 的 PC 系统 
可 以 适用 于 局 域 网 、 宽 带 等 不 同 的 网 络 环境 。 

(6) 对 网 络 技术 、 协 议 完 全 透明 ， 安装 方 便 ， 操 作 简单 ， 不 需要 用 户 进行 专门 的 维护 。 


2. 以 防火 墙 密码 技术 为 基础 的 网 络 强 隔离 系统 


网 络 强 隔离 系统 是 由 外 部 访问 控制 服务 器 、 安 全 隔离 与 信息 交换 设备 和 内 部 访问 控制 
服务 器 组 成 的 具有 层次 结构 的 系统 。 网 络 强 隔离 系统 是 保卫 外 部 边界 的 有 力 措施 ， 对 流入 、 
流出 边界 的 数据 流 进 行 有 效 的 控制 和 监督 ， 如 图 10.1 所 示 。 


外 部 访问 控制 服务 器 内 部 访问 控制 服务 器 


4 = 

| 上 L 

3 3 
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安全 隔离 与 信息 交换 设备 


外 网 


图 10.1 网 络 强 隔离 系统 
防火 墙 的 使 用 是 非常 灵活 的 ， 可 以 在 以 太 网 的 任意 部 位 进行 链 路 分 割 ， 构 成 安全 的 网 
络 范 围 。 可 以 用 于 在 单位 内 网 同 外 界 的 广域网 出 口上 ， 实 现 对 单位 内 网 的 保护 ， 可 以 在 内 
部 网 络 上 进行 划分 ， 建 立 局 部 的 安全 区 ; 可 以 单独 设置 在 某 一 台 或 几 台 重要 的 服务 器 对 这 


第 10 音 ”网络 信 息 安全 系统 设计 案 旬 @@ 


些 服务 器 进行 安全 保护 。 

企业 网 络 由 多 个 具有 不 同安 全 信任 度 的 网 络 部 分 构成 ， 在 控制 不 可 信和 连接 、 分 辩 非 法 
访问 、 辨 别 身份 伪装 等 方面 存在 着 很 大 的 缺陷 ， 从 而 构成 了 对 网 络 安全 的 重要 隐患 。 设 计 
中 ， 采 用 防火 墙 设备 确保 如 财务 部 、 开 发 部 等 重要 安全 域 的 相对 独立 。 选 购 防 火 墙 主要 应 
从 安全 角度 考虑 ， 在 这 里 效率 不 应 成 为 瓶颈 问题 ， 应 该 选 购 业 界 大 公司 或 资深 信息 安全 研 
制 单位 的 成 熟 产品 以 满足 系统 安全 的 需要 。 

通过 在 核心 交换 机 和 高 性 能 服务 器 群 之 间 及 核心 交换 机 和 重要 部 门 之 间 部 署 防火 墙 ， 
通过 防火 墙 将 网 络 内 部 不 同 部 门 的 网 络 或 关键 服务 器 划分 为 不 同 的 网 段 ， 彼 此 隔离 。 这 样 
不 仅 保护 了 该 单位 网 络 服务 器 ， 使 其 不 受 来 自 内 部 的 攻击 ， 也 保护 了 各 部 门 网 络 和 数据 服 
务 器 不 受 来 自 该 单位 内 部 其 他 部 门 的 网 络 攻击 。 如 果 有 人 擅自 冯 进 一 个 部 门 ， 或 者 如 果 病 
毒 开始 蔓延 ， 网 段 能 够 限制 造成 的 损坏 进一步 扩大 。 

防火 墙根 据 系统 管理 者 设 定 的 安全 规则 保护 内 部 网 络 ， 提 供 完善 的 安全 性 设置 ， 通 过 
高 性 能 的 网 络 核心 节点 进行 访问 控制 。 同 时 提供 网 络 地 址 转换 、 透 明 的 代理 服务 、 信 息 过 
滤 、 内 容 过 滤 、 双 机 热 备 份 、 流 量 控制 、 带 宽 管 理 及 用 户 身份 认证 等 功能 。 


3. 网 络 安全 检测 


利用 防火 墙 并 经 过 严格 配置 ， 可 以 阻止 各 种 不 安全 访问 通过 防火 墙 ， 从 而 降低 安全 风 
险 。 但 是 ， 网 络 安全 不 可 能 完全 依靠 防火 墙 单一 产品 来 实现 ， 网 络 安全 是 一 个 整体 ， 必 须 
配置 相应 的 安全 产品 ， 作 为 防火 墙 的 必要 补充 。 网 络 系统 的 安全 性 取决 于 网 络 系统 中 最 薄 
弱 的 环节 ， 如 何 及 时 发 现 网 络 系统 中 最 薄弱 的 环节 ， 如 何 最 大 限度 地 保证 网 络 系统 的 安全 ， 
最 有 效 的 方法 是 定期 对 网 络 系统 进行 安全 性 分 析 ， 及 时 发 现 并 修正 存在 的 弱点 和 漏洞 。 

网 络 安全 检测 工具 通常 是 一 个 网 络 安全 性 评估 分 析 软 件 ， 其 功能 是 用 实践 的 方法 扫描 
分 析 网 络 系统 ， 检 查 报 告 系统 存在 的 弱点 和 漏洞 ， 建 议 采取 的 补救 措施 和 安全 策略 ， 以 达 
到 增强 网 络 安全 的 目的 。 

入 侵 检测 系统 是 根据 已 有 的 、 最 新 的 攻击 手段 的 信息 代码 对 进出 网 段 的 所 有 操作 行为 
进行 实时 监控 、 记 录 ， 并 按 制 定 的 策略 实行 响应 ( 阻 断 、 报 警 )， 从 而 防止 对 网 络 的 攻击 与 
犯罪 行为 。 入 侵 检测 系统 一 般 包括 控 制 台 和 探测 器 (网 络 引 擎 )。 控 制 台 用 作 制 定 及 管理 所 
有 探测 器 (网 络 引擎 )。 探 测 器 (网 络 引 擎 ) 用 作 监 听 进 出 网 络 的 访问 行为 ， 根 据 控制 台 的 指令 
执行 相应 行为 。 由 于 探测 器 采用 的 是 监听 而 不 是 过 滤 数 据 包 ， 因 此 ， 入 侵 检测 系统 的 应 用 
就 不 会 对 网 络 系统 的 性 能 造成 多 大 影响 。 


10.3.3 网 络 系统 安全 设计 
网 络 系统 安全 包括 网 络 操作 系统 及 网 络 应 用 系统 的 安全 两 个 方面 。 


1. 网 络 操作 系统 安全 


对 于 网 络 操作 系统 的 安全 防范 可 以 采取 以 下 策略 : 尽量 采用 安全 性 较 高 的 网 络 操作 系 
统 ， 并 进行 必要 的 安全 配置 ， 关 闭 一 些 并 不 常用 却 存 在 安全 隐患 的 应 用 、 服 务 及 端口 。 对 
一 些 保存 有 用 户 信息 及 其 口令 的 关键 文件 使 用 权限 进行 严格 限制 ; 加 强 口令 字 的 使 用 (增加 
口令 复杂 程度 、 不 要 使 用 与 用 户 身份 相关 的 、 容 易 猜 测 的 信息 作为 口令 ， 要 经 常 更 换 口 令 ) 


< 
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并 及 时 给 系统 打 补 丁 、 系 统 内 部 的 相互 调用 不 对 外 公开 。 
2. 网 络 应 用 系统 安全 


在 应 用 系统 安全 上 , 应 用 服务 器 尽量 不 要 开放 一 些 没 有 经 常用 的 协议 及 协议 端口 号 (如 
文件 服务 、 电 子 邮件 服务 器 等 应 用 系统 )， 可 以 关闭 服务 器 上 的 如 HTTP、FTP、Telnet 等 服 
务 。 加 强 登录 身份 认证 ， 确 保 用 户 使 用 的 合法 性 ， 严 格 限制 登录 者 的 操作 权限 ， 将 其 完成 
的 操作 限制 在 最 小 的 范围 内 。 充 分 利用 操作 系统 和 应 用 系统 本 身 的 日 志 功 能 ， 对 用 户 所 访 
问 的 信息 做 记录 , 为 事后 审查 提供 依据 。 同 时 还 要 及 时 升级 各 种 已 经 发 布 的 升级 补丁 程序 ， 


| 以 减少 因为 升级 过 程 周期 长 而 带 来 攻击 事件 的 发 生 。 


10.3.4 建立 有 效 的 信任 体系 
1. 证 书 管理 系统 


采用 基于 国际 标准 的 PKI 技术 体系 开发 的 证 书 和 密 钥 管理 系统 , 它 由 五 大 子 系统 组 成 ， 
即 证 书 注册 子 系统 、 证 书签 发 子 系统 、 证 书 发 布 和 查询 子 系统 、 密 钥 管理 子 系统 和 备份 子 
系统 。 证 书 管理 系统 具有 符合 标准 、 开 放 、 安 全 性 高 、 功 能 全 面 、 工 作 流程 简单 清晰 、 配 
置 灵活 等 特点 ， 并 提供 了 与 其 他 PKICA 体系 的 接口 ， 易 于 扩展 。 可 以 作为 大 型 的 CA 中 
心 系统 ， 也 可 以 作为 企业 级 的 CA 中 心 系统 。 

2. 目录 服务 器 


目录 服务 器 是 方案 的 基石 ， 目 录 服 务 器 集中 存储 用 户 身份 信息 、 服 务 数据 、 访 问 策略 
和 证 书 等 ， 对 用 户 可 信人 性 的 鉴别 过 程 高 度 依赖 于 可 信 数 据 存储 的 性 能 。 目 录 系 统 成 功 实施 
的 关键 在 于 建立 高 扩展 性 、 高 可 靠 性 的 目录 服务 器 集群 ， 应 用 程序 用 它们 进行 认证 。 

目录 服务 器 是 整个 应 用 层面 访问 控制 的 基础 ， 是 统一 用 户 管理 的 核心 ， 所 以 目录 服务 
器 的 高 可 用 性 是 非常 重要 的 。 系 统 中 包含 4 个 目录 服务 器 , 其 中 内 部 两 个 为 主 目录 服务 器 ， 
包含 了 所 有 相关 记录 ， 两 个 目录 服务 器 相互 复制 来 保证 它们 总 是 含有 最 新 数据 ， 这 样 任何 
一 个 服务 器 的 失败 都 不 会 造成 信息 的 损失 。 外 网 所 需要 的 客户 信息 ， 电 子 商 务 应 用 所 需要 
的 客户 信息 将 被 复制 到 外 部 目录 服务 器 上 ， 提 供 客户 认证 服务 ， 对 于 企业 的 一 些 经 常 需要 
跨 网 操作 的 用 户 来 说 ， 他 们 的 信息 将 被 复制 到 所 有 地 域 性 的 目录 服务 器 上 ， 这 样 可 以 在 每 
个 区 域 网 内 为 他 们 进行 有 效 的 认证 授权 服务 。 


3. 认证 服务 器 


认证 服务 器 用 于 对 内 、 外 部 网 络 的 Web 方式 和 非 Web 方式 应 用 进行 访问 认证 和 授权 
控制 ， 并 且 保 证 提供 的 这 种 访问 控制 服务 的 稳定 性 ， 这 样 可 以 保证 商业 信息 的 安全 传输 。 
另外 ， 用 户 只 需要 提交 一 次 认证 信息 就 可 以 访问 相应 资源 的 单 点 登录 方式 ， 极 大 地 提高 了 
用 户 使 用 的 方便 性 。 

认证 服务 器 的 主要 功能 是 认证 服务 和 授权 策略 管理 。 用 户 认证 /授权 管理 平台 实现 了 统 
一 的 用 户 身份 管理 的 功能 ， 即 实现 了 一 致 性 的 安全 策略 、 集 中 管理 的 认证 和 授权 机 制 、 完 
整 的 身份 活动 周期 管理 。 实 现 统一 的 用 户 身 份 管理 的 优点 有 以 下 几 点 。 

(1) 增强 安全 性 。 集 中 式 的 策略 管理 ， 实 现 单 点 访问 控制 ， 通 过 数字 证 书 、 令 牌 卡 、 
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智能 卡 等 手段 增强 应 用 程序 和 资源 的 安全 性 。 

(2) 方便 经 济 。 单 点 登录 方便 使 用 、 提 高 用 户 效率 ; 集中 式 的 用 户 、 策 略 和 服务 管理 
减少 维护 工作 量 。 

(3) 提高 运行 效率 。 对 各 种 服务 而 言 ， 在 身份 认证 服务 器 上 即 可 实现 创建 、 维 护 和 删 
除 用 户 账号 等 各 种 功能 ， 在 各 种 数据 源 之 间 保 持 信息 同步 ， 如 Windows 账号 、 邮 件 账 号 和 
人 力 资源 系统 等 。 


4. 单 点 登录 系统 


单 点 登录 (Single Sign On, SSO) 就 是 合法 用 户 一 次 登录 就 可 以 访问 多 个 应 用 程序 。 单 点 
登录 使 用 户 可 以 基于 最 初 访问 应 用 时 的 一 次 身份 认证 ， 对 所 有 被 授权 的 应 用 进行 无 颖 的 访 
问 ， 不 需要 用 户 多 次 输入 用 户 名 和 口令 ,减少 了 用 户 的 等 待 时 间 ， 提 高 用 户 工 作 效率 。 实 
现 SSO 方案 的 原理 是 共享 一 个 身份 认证 标识 (SSO Token)， 当 用 户 使 用 Identity Server 支持 
的 认证 机 制 (如 证 书 ) 向 Identity Server 请 求 认 证 时 ， 将 产生 身份 认证 标识 SSO Token，SSO 
Token 将 发 送 回 客户 端 。 当 用 户 再 访问 其 他 应 用 时 , 只 要 出 示 这 个 身份 认证 标识 SSO Token， 
如 果 此 身份 认证 标识 SSO Token 合法 ， 则 不 需要 用 户 再 进行 身份 认证 。 


10.3.5 ”病毒 防护 


未 来 的 网 络 威胁 将 以 传播 病毒 的 速度 越 来 越 快 、 发 现 漏洞 到 利用 漏洞 进行 攻击 时 间 越 
来 越 短 为 特征 。 为 此 ， 无 论 是 手动 的 还 是 自动 的 应 对 措施 都 将 不 起 作用 ， 唯 一 的 方法 是 主 
动 预防 ， 即 部 署 整体 的 网 络 安全 解决 方案 ， 而 不 是 简单 的 反 病 毒 解决 方案 。 原 来 通常 在 自 
己 的 PC 上 安装 防毒 软件 来 保护 系统 ， 对 于 单 节点 而 言 ， 只 要 能 够 确保 防毒 软件 有 效 ， 能 
及 时 更 新 病毒 特征 码 , 就 可 以 防范 绝 大 多 数 的 病毒 ， 如 果 还 想 防范 结合 Hacker Overflow 技 
术 的 病毒 ， 还 需要 及 时 给 操作 系统 打 补 丁 。 显 然 ， 这 些 操作 需要 相当 高 的 计算 机 操作 水 平 ， 
但 是 这 种 方式 在 一 个 企业 的 网 络 环境 中 通常 不 能 达到 令 人 满意 的 效果 ， 原 因 有 以 下 几 点 。 

首先 ， 企 业 的 网 络 通常 有 成 百 上 千 的 主机 ， 很 难保 证 所 有 节点 (包括 移动 节点 ) 的 防毒 
系统 都 处 在 最 佳 的 状态 ， 包 括 是 否 安装 防毒 软件 、 防 毒 系统 是 否 生效 、 是 否 更 新 到 了 最 新 
的 病毒 特征 码 、 是 否 给 操作 系统 打 好 了 最 新 的 安全 补丁 等 许多 影响 终端 节点 防毒 的 因素 。 
其 次 ， 网 络 病毒 的 传播 和 防毒 系统 的 特征 码 更 新 都 是 利用 网 络 ， 它 们 之 间 只 是 时 间 上 的 对 
抗 ， 由 于 病毒 的 出 现 肯 定 要 先 于 病毒 特征 码 的 出 现 ， 从 而 在 客观 上 造成 拥有 大 量 终 端 节点 
的 企业 防 病毒 体系 在 与 网 络 病毒 的 对 抗 中 处 在 一 个 不 利 的 境地 。 

要 想 在 这 场 对 抗 中 获得 主动 ， 眼 光 自 然 移 到 了 企业 的 网 络 边缘 上 ， 在 网 络 入 口 挡住 有 
害 数据 。 在 本 书 的 方案 中 ， 采 用 “ 扫 进 又 扫 出 ”的 病毒 扫描 和 内 容 过 滤 策 略 ， 不 仅 对 进入 
企业 内 部 网 的 请 求 进行 病毒 扫描 和 内 容 过 滤 ， 而 且 还 在 内 部 用 户 访问 mtemet、 内 部 广域网 
之 前 ， 在 本 地 网 络 边界 进行 病毒 扫描 和 内 容 过 滤 ， 从 而 防止 了 用 户 的 关键 业务 受到 病毒 、 
恶意 代码 的 破坏 ， 提 高 了 用 户 网 络 的 安全 性 和 可 用 性 。 


10.3.6 ”数据 备份 恢复 


为 了 保护 重点 服务 器 的 完整 性 ， 防 止 其 上 的 信息 被 非法 算 改 ， 保 护 系统 运行 安全 ， 应 
使 用 服务 器 灾难 恢复 系统 。 服 务 器 灾难 恢复 系统 可 以 将 服务 器 上 的 重要 信息 进行 备份 ， 并 
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定期 检测 服务 器 上 信息 内 容 的 完整 性 ， 一 旦 发 现 信 息 被 非法 算 改 ， 就 会 使 用 原始 数据 对 服 
务 器 进行 灾难 恢复 。 该 系统 适合 于 计算 机 网 络 中 对 外 发 布 信息 的 服务 器 和 内 部 重要 的 服务 
器 群 ， 也 可 以 用 于 其 他 基于 文件 系统 的 服务 器 ， 如 FTP、E-mail 和 DNS 服务 器 等 。 

同时 制定 完善 的 安全 备份 管理 制度 ， 如 系统 安全 备份 规范 、 数 据 介质 保存 规定 等 ; 数 
据 备份 则 主要 通过 磁盘 、 磁 带 、 光 盘 等 介质 来 进行 。 

备份 系统 为 一 个 目的 而 存在 ， 这 就 是 尽 可 能 快 地 全 盘 恢 复 运行 计算 机 系统 所 需 的 数据 
和 系统 信息 。 根 据 系 统 安全 需求 可 选择 的 备份 机 制 有 : 场 点 内 高 速度 、 大 容量 自动 的 数据 
存储 、 备 份 与 恢复 ; 场 点 外 的 数据 存储 、 备 份 与 恢复 ;对 系统 设备 的 备份 。 备 份 不 仅 在 网 
络 系统 硬件 故障 或 人 为 失误 时 起 到 保护 作用 ， 也 在 入 侵 者 非 授权 访问 或 对 网 络 攻击 及 破坏 
数据 完整 性 时 起 到 保护 作用 ， 同 时 也 是 系统 灾难 恢复 的 前 提 之 一 。 

在 确定 备份 的 指导 思想 和 备份 方案 后 , 就 要 选择 安全 的 存储 介质 和 技术 进行 数据 备份 ， 
有 “ 冷 备 份 ” 和 “ 热 备 份 ”两 种 。 热 备份 是 指 “在线 ” 的 备份 ， 即 下 载 备份 的 数据 还 在 整 
个 计算 机 系统 和 网 络 中 ， 只 不 过 传 到 另 一 个 非 工作 的 分 区 或 是 另 一 个 非 实时 处 理 的 业务 系 
统 中 存放 。“ 冷 备份 ”是 指 “不 在 线 ” 的 备份 ， 下 载 的 备份 存放 到 安全 的 存储 介质 中 ， 而 
这 种 存储 介质 与 正在 运行 的 整个 计算 机 系统 和 网 络 没有 直接 联系 , 在 系统 恢复 时 重新 安装 ， 
有 一 部 分 原始 的 数据 长 期 保存 并 作为 查询 使 用 。 

热 备 份 的 具体 做 法 是 可 以 在 主机 系统 开辟 一 个 非 工作 运行 空间 ， 专 门 存放 备份 数据 ， 
即 分 区 备份 ， 另 一 种 方法 是 ， 将 数据 备份 到 另 一 个 子 系统 中 ， 通 过 主机 系统 与 子 系统 之 间 
的 传输 ， 同 样 具 有 速度 快 和 调用 方便 的 特点 ， 但 投资 比较 昂贵 。 冷 备份 弥补 了 热 备份 的 一 
些 不 足 ， 二 者 优势 互补 、 相 辅 相 成 ， 因 为 冷 备份 在 回避 风险 中 还 具有 便于 保管 的 特殊 优点 。 


10.3.7 ”安全 管理 制度 


制定 安全 管理 策略 和 原则 ， 如 用 户 授权 实施 细则 、 口 令 字 及 账户 管理 规范 、 权 限 管理 
制度 等 。 同 时 还 要 建立 健全 安全 管理 机 构 : 为 保证 各 部 门 计算 机 网 络 系统 正常 、 有 效 和 安 
全 地 运行 ， 必 须 首先 建立 健全 一 套 与 之 相应 的 政府 部 门 计 算 机 网 络 安全 管理 机 构 。 


10.4 现代 企业 的 网 络 信息 安全 风险 分 析 


随 着 mnternet 网 络 急剧 扩大 和 上 网 用 户 迅速 增加 , 风险 变 得 更 加 严重 和 复杂 。 原 来 由 单 
个 计算 机 安全 事故 引起 的 损害 可 能 传播 到 其 他 系统 ， 引 起 大 范围 的 瘫 病 和 损失 。 再 加 上 缺 
乏 安 全 控制 机 制 和 对 Internet 安全 政策 的 认识 不 足 ， 这 些 风 险 正 日 益 严重 。 

针对 现代 企业 局 域 网 中 存在 的 安全 隐患 ， 在 进行 安全 方案 设计 时 ， 下 述 安全 风险 必须 
要 认真 考虑 ， 并 且 要 针对 面临 的 风险 ， 采 取 相 应 的 安全 措施 。 这 些 风 险 由 多 种 因素 引起 ， 
与 现代 企业 局 域 网 结构 和 系统 的 应 用 、 局 域 网 内 网 络 服务 器 的 可 靠 性 等 因素 密切 相关 。 网 
络 安全 可 以 从 以 下 几 个 方面 来 理解 : 物理 网 络 是 否 安全 ;， 网 络 平台 是 否 安全 ; 网 络 系统 是 
否 安 全 ; 网 络 应 用 是 否 安全 ; 网 络 管理 是 否 安全 。 
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10.4.1 网 络 的 物理 安全 风险 


网 络 的 物理 安全 主要 是 指 : 地 震 、 水 灾 、 火 灾 等 环境 事故 ;电源 故障 ; 人 为 操作 失误 
或 错误 ， 设 备 被 盗 、 被 毁 ; 电磁 干扰 ; 线路 截获 ， 高 可 用 性 的 硬件 、 双 机 多 元 余 的 设计 、 
机 房 环境 及 报警 系统 、 安 全 意识 等 。 它 是 整个 网 络 系统 安全 的 前 提 ， 在 企业 区 局 域 网 内 ， 
由 于 网 络 的 物理 跨度 不 大 ， 只 要 制定 健全 的 安全 管理 制度 ， 做 好 备份 ， 并 且 加 强 网 络 设备 
和 机 房 的 管理 ， 这 些 风 险 是 可 以 避免 的 。 


10.4.2 网络 平台 的 安全 风险 


网 络 结构 的 安全 涉及 网 络 拓扑 结构 、 网 络 路 由 状况 及 网 络 的 环境 等 。 现 代 企 业 局 域 网 
内 公开 服务 器 区 (FTP、WWW、E-mail 等 服务 器 ) 作 为 公司 的 信息 发 布 平台 ， 一 旦 受到 攻击 
不 能 运行 ， 对 企业 的 声誉 影响 巨大 。 同 时 公开 服务 器 本 身 要 为 外 界 服务 ， 必 须 开放 相应 的 
服务 。 每 天 ， 黑 客 都 在 试图 疤 入 Internet 节点 ， 如 果 不 保持 警惕 ， 可 能 连 黑客 怎么 疤 入 这 些 
节点 的 都 不 知道 ， 甚 至 会 成 为 黑客 入 侵 其 他 站 点 的 跳板 。 因 此 ， 规 模 较 大 网 络 的 管理 人 员 
对 Intemet 安全 事故 做 出 有 效 反 应 变 得 十 分 重要 。 有 必要 将 公开 服务 器 、 内 部 网 络 与 外 部 网 
络 进行 隔离 ， 避 免 网 络 结构 信息 外 泄 ， 同 时 还 要 对 外 网 的 服务 请 求 加 以 过 滤 ， 只 允许 正常 
通信 的 数据 包 到 达 相 应 主机 ， 其 他 的 请 求 服务 在 到 达 主 机 之 前 就 应 该 遭 到 拒绝 。 

安全 的 应 用 往往 是 建立 在 网 络 系统 之 上 的 ， 网 络 系统 的 成 熟 与 否 直接 影响 安全 系统 成 
功 的 建设 。 在 企业 局 域 网 络 系统 中 , 用 作 与 mntemet 连接 的 边界 路 由 器 , 网 络 结构 相对 简单 ， 
具体 配置 时 可 以 考虑 使 用 静态 路 由 ， 这 就 大 大 减少 了 因 网 络 结构 和 网 络 路 由 造成 的 安全 
风险 。 


10.4.3 网络 系 统 的 安全 风险 


显而易见 ， 系 统 的 安全 是 指 整个 局 域 网 网 络 操作 系统 、 网 络 硬件 平台 是 否 可 靠 且 值得 
信任 。 对 于 我 国 来 说 恐怕 没有 绝对 安全 的 操作 系统 可 以 选择 , 无 论 是 Microsoft 的 Windows 
NT 还 是 其 他 任何 商用 UNIX 操作 系统 ， 其 开发 厂商 必然 有 其 后 门 。 可 以 这 样 讲 , 没有 完全 
安全 的 操作 系统 ， 但 是 可 以 对 现 有 的 操作 平台 进行 安全 配置 ， 对 操作 和 访问 权限 进行 严格 
控制 ， 以 提高 系统 的 安全 性 。 因 此 ， 不 但 要 选用 尽量 可 靠 的 操作 系统 和 硬件 平台 ， 而 且 必 
须 加 强 登录 过 程 的 认证 (特别 是 在 到 达 服 务 器 主机 之 前 的 认证 )， 确 保 用 户 的 合法 性 ， 其 次 
应 该 严格 限制 登录 者 的 操作 权限 ， 将 其 完成 的 操作 限制 在 最 小 的 范围 内 。 


10.4.4 ”应 用 服务 的 安全 风险 


应 用 系统 的 安全 与 具体 的 应 用 有 关 ， 它 涉及 很 多 方面 ， 应 用 系统 的 安全 是 动态 的 、 不 
断 变化 的 ， 应 用 的 安全 性 也 涉及 信息 的 安全 性 。 应 用 的 安全 涉及 面 很 广 ， 以 目前 Intemet 
上 应 用 最 为 广泛 的 E-mail 系统 来 说 ， 其 解决 方案 有 几 十 种 ， 但 其 系统 内 部 的 编码 甚至 编译 
器 导致 的 BUG 是 很 少 有 人 能 够 发 现 的 , 因此 一 套 详尽 的 测试 软件 是 必需 的 。 但 是 应 用 系统 
是 不 断 发 展 且 应 用 类 型 是 不 断 增加 的 , 其 结果 是 安全 漏洞 也 是 不 断 增 加 且 隐 藏 得 越 来 越 深 。 
因此 ， 保 证 应 用 系统 的 安全 也 是 一 个 随 网 络 发 展 不 断 完善 的 过 程 。 


应 用 的 安全 性 涉及 信息 、 数 据 的 安全 性 ， 信 息 的 安全 性 涉及 机 密 信息 泄露 、 未 经 授权 
的 访问 、 破 坏 信息 完整 性 、 假 冒 、 破 坏 系统 的 可 用 性 等 。 对 于 有 些 特别 重要 的 信息 需要 对 
内 部 进行 保密 的 (如 领导 子 网 、 财 务 系统 传递 的 重要 信息 等 )， 可 以 考虑 在 应 用 级 进行 加 密 ， 
针对 具体 的 应 用 直接 在 应 用 系统 开发 时 进行 加 密 。 


10.4.5 网络 信息 管理 的 安全 风险 


管理 是 网 络 中 安全 最 重要 的 部 分 ， 责 权 不 明 、 管 理 混乱 、 安 全 管理 制度 不 健全 及 缺乏 
可 操作 性 等 都 可 能 引起 管理 安全 的 风险 。 当 网 络 出 现 攻击 行为 或 网 络 受到 其 他 一 些 安全 威 


| 胁 时 (如 内 部 人 员 的 违规 操作 等 )， 无 法 进行 实时 的 检测 、 监 控 、 报 告 与 预警 。 同 时 ， 当 事 


故 发 生 后 ， 也 无 法 提供 黑客 攻击 行为 的 追踪 线索 及 破案 依据 ， 即 缺乏 对 网 络 的 可 控 性 与 可 
审查 性 。 这 就 要 求 必须 对 站 点 的 访问 活动 进行 多 层次 的 记录 ， 及 时 发 现 非 法 入 侵 行为 ， 建 
立 全 新 网 络 安全 机 制 ， 必 须 深刻 理解 网 络 并 能 提供 直接 的 解决 方案 ， 因 此 ， 最 可 行 的 做 法 
是 管理 制度 和 管理 解决 方案 的 结合 。 


10.4.6 ”人 为 的 网 络 信息 安全 问题 
1. 通用 网 关 接口 (CGI) 漏 洞 


有 一 类 风险 涉及 CGI(Common Gateway Interface) 脚 本 、 许 多 页 面 文件 和 指向 其 他 页 面 
或 站 点 的 超 链接 ， 然 而 有 些 站 点 用 到 这 些 超 链接 所 指 站 点 寻找 特定 信息 。 搜 索引 擎 是 通过 
CGI 脚本 执行 的 方式 实现 的 ， 黑 客 可 以 修改 这 些 CGI 脚本 以 执行 他 们 的 非法 任务 。 通 常 ， 
这 些 CGI 脚本 只 能 在 这 些 所 指 WWW 服务 器 中 寻找 , 但 如 果 进 行 一 些 修改 , 他 们 就 可 以 在 
WWW 服务 器 之 外 进行 寻找 。 要 防止 这 类 问题 发 生 ， 应 将 这 些 CGI 脚本 设置 为 较 低 级 用 户 
特权 ， 提 高 系统 的 抗 破坏 能 力 ， 提 高 服务 器 备份 与 恢复 能 力 ， 提 高 站 点 内 容 的 防 自 改 与 自 
动 修复 能 力 。 


2. 恶意 代码 的 攻击 


计算 机 病毒 一 直 是 计算 机 安全 的 主要 威胁 ,能 在 Internet 上 传播 的 新 型 病毒 以 及 病毒 的 
种 类 和 传染 方式 也 在 增加 ， 国 际 空 间 的 病毒 总 数 已 达 上 万 甚至 更 多 。 当 然 ， 查 看 文档 、 浏 
览 图像 或 在 Web 上 填 表 都 不 用 担心 病毒 感染 ， 然 而 ， 下 载 可 执行 文件 和 接收 来 历 不 明 的 
E-mail 文件 需要 特别 警惕 ， 否 则 很 容易 使 系统 遭 到 严重 的 破坏 。 


3. 对 计算 机 网 络 的 攻击 


一 般 认 为 ， 目 前 对 网 络 的 攻击 手段 主要 表现 在 以 下 几 个 方面 。 

(1) 非 授权 访问 。 没 有 预先 经 过 同意 ， 就 使 用 网 络 或 计算 机 资源 被 看 作 非 授权 访问 ， 
如 有 意 避 开 系统 访问 控制 机 制 ， 对 网 络 设备 及 资源 进行 非 正常 使 用 ， 或 擅自 扩大 权限 ， 越 
权 访 问 信息 。 它 主要 有 假冒 、 身 份 攻击 、 非 法 用 户 进入 网 络 系统 进行 违法 操作 、 合 法 用 户 
以 未 授权 方式 进行 操作 等 。 

(2) 信息 泄露 或 丢失 。 它 指 敏感 数据 在 有 意 或 无 意 中 被 泄露 出 去 或 丢失 。 它 通常 包括 : 
信息 在 传输 中 丢失 或 泄露 (如 “黑客 ”利用 电磁 泄漏 或 搭 线 窃听 等 方式 可 截获 机 密 信息 ; 通 
过 对 信息 流向 、 流 量 、 通 信 频 度 和 长 度 等 参数 的 分 析 ， 推 出 有 用 信息 )， 信 息 在 存储 介质 中 
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丢失 或 泄露 ， 通 过 建立 隐蔽 隧道 等 窃 取 敏感 信息 。 

(3) 破坏 数据 完整 性 。 以 非法 手段 窃 得 对 数据 的 使 用 权 ， 删 除 、 修 改 、 插 入 或 重 发 某 
些 重 要 信息 ， 以 取得 有 益 于 攻击 者 的 响应 ; 恶意 添加 ， 修 改 数据 ， 以 干扰 用 户 的 正常 使 用 。 

(4) 拒绝 服务 攻击 。 它 不 断 对 网 络 服务 系统 进行 干扰 ， 改 变 其 正常 的 作业 流程 ， 执 行 
无 关 程序 使 系统 响应 减 慢 甚至 瘫 疾 ， 影 响 正常 用 户 的 使 用 ， 甚 至 使 合法 用 户 被 排斥 而 不 能 
进入 计算 机 网 络 系统 或 不 能 得 到 相应 的 服务 。 

(5) 利用 网 络 传播 病毒 。 通 过 网 络 传播 计算 机 病毒 ， 其 破坏 性 大 大 高 于 单机 系统 ， 而 
且 用 户 很 难 防范 。 


复习 思考 题 十 


1. 简 述 需求 分 析 的 意义 。 
2. 现代 企业 网 络 信息 安全 的 总 体 设计 应 从 哪些 方面 考虑 ? 
3. 网 络 信息 安全 制度 的 意义 是 什么 ? 
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